Materi
Senin pagi, sensor jaringan toko daring menyimpan satu jam lalu lintas ke server 192.0.2.10 dan dari komputer kantor sebagai keluaran teks tcpdump -nn di berkas misi.txt. Penyelia SOC meminta empat jawaban sebelum rapat pukul sepuluh: sumber yang paling banyak mengirim SYN, port yang terbuka di server dilihat dari jawaban SYN-ACK, host kantor yang menerima banyak jawaban NXDomain, dan satu kalimat laporan yang bisa dipertanggungjawabkan.
Pakai cara tiga pelajaran sebelumnya. Medan ke-3 adalah sumber, medan ke-5 tujuan, dan medan ke-7 bendera TCP. Alamat dan port dipisah titik, jadi cut dengan pemisah titik mengambil alamat (medan 1 sampai 4) atau port (medan 5). Port terbuka tampak dari SYN-ACK yang dikirim server ke pemindai, bukan dari SYN pemindai.
Port terbuka bukan berarti layanannya dibobol, dan host yang banyak menerima NXDomain belum tentu terinfeksi. Keduanya indikator yang dicatat dengan stempel waktu, dipetakan ke teknik ATT&CK, lalu diteruskan sesuai jalur eskalasi.
