Брутфорс доменных учетныз записей по протоколу SMB

270 02.10.2026 13:58

Сканирование по протоколу SMB с недоменной рабочей станции атакующего (192.168.0.234) доменную рабочую станцию ws2025.socpedia.net.

Очистить фильтр

Поле

Значение	Вхождения	События

Быстрый поиск

Выберите поля и значения для быстрого фильтра таймлайна.

Поля

Расширенный поиск

Соберите условия по полям с AND, OR и AND NOT.

Оператор групп

Описание параметров и пример

Оператор групп Объединяет группы на верхнем уровне: AND требует совпадения всех групп, OR - хотя бы одной.

Operator Внутри группы AND требует совпадения всех условий, OR - хотя бы одного, AND NOT исключает совпадающие события.

Поле Поле события для проверки, например ID события, название события, AuthenticationPackageName или IpAddress.

Condition contains / not contain ищут внутри текста, equals / not equals сравнивают полное значение, exists проверяет наличие значения, empty - его отсутствие.

Values OR ищет любое введенное значение. AND требует совпадения всех введенных значений в одном поле.

Поиск значений Введите значение и нажмите Enter, чтобы добавить его. Добавленные значения можно удалять по одному. Для exists и empty поле значений игнорируется.

Example

Найти успешные входы, но исключить активность localhost:

ID события equals 4624
OR название события contains logon
AND NOT IpAddress equals 127.0.0.1

Нет расширенных условий.

Файл для обмена фильтром

Импорт

Найдено событий: 205 / Всего событий: 205

#201 2026-10-02 13:11:43

Неопределено (4000 "Microsoft-Windows-SMBServer/Connectivity") Неопределено

192.168.0.231

Нет сопоставленных основных полей.

#202 2026-10-02 13:11:43

An account was logged off (4634 "Security")

192.168.0.231

ws2025.socpedia.net

localadmin

Logon Type

Subject: Security ID: S-1-5-21-1838030176-2987033226-1986555923-1140
Subject: Account Name: localadmin
Subject: Account Domain: SOCPEDIA
Subject: Logon ID: 0x15b863c5
Logon Type: 3
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 860
ThreadID: 1816

#203 2026-10-02 13:11:45

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

192.168.0.231

ws2025.socpedia.net

DestinationIp

192.168.0.231

DestinationHostname: ws2025.socpedia.net
DestinationIp: 192.168.0.231
DestinationIsIpv6: false
DestinationPort: 445
DestinationPortName: microsoft-ds
Image: System
Initiated: false
Process GUID: {93585ce4-2878-6aaa-eb03-000000000000}
Process ID: 4
Protocol: tcp
RuleName: v1-0_eventID3
SourceHostname: -
SourceIp: 192.168.0.234
SourceIsIpv6: false
SourcePort: 42806
SourcePortName: -
User: NT AUTHORITY\SYSTEM
UTC Time: 2026-10-02 08:12:44.017
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 3344
ThreadID: 3412

#204 2026-10-02 13:11:45

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

192.168.0.231

ws2025.socpedia.net

DestinationIp

192.168.0.231

DestinationHostname: ws2025.socpedia.net
DestinationIp: 192.168.0.231
DestinationIsIpv6: false
DestinationPort: 445
DestinationPortName: microsoft-ds
Image: System
Initiated: false
Process GUID: {93585ce4-2878-6aaa-eb03-000000000000}
Process ID: 4
Protocol: tcp
RuleName: v1-0_eventID3
SourceHostname: -
SourceIp: 192.168.0.234
SourceIsIpv6: false
SourcePort: 42820
SourcePortName: -
User: NT AUTHORITY\SYSTEM
UTC Time: 2026-10-02 08:12:44.018
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 3344
ThreadID: 3412

#205 2026-10-02 13:11:54

An account was logged off (4634 "Security")

192.168.0.210

DC.socpedia.net

WS2025$

Logon Type

Subject: Security ID: S-1-5-21-1838030176-2987033226-1986555923-1136
Subject: Account Name: WS2025$
Subject: Account Domain: SOCPEDIA
Subject: Logon ID: 0x1715ebf4
Logon Type: 3
IP: 192.168.0.210
Computer: DC.socpedia.net
ProcessPID: 844
ThreadID: 720

Название события
ID события
Access Request Information: Accesses
Account Whose Credentials Were Used: Account Domain
Authentication Package
AvFlags
AvlFlags String
Calling process domain identity
Calling Process Name
Calling process PID
Calling process user identity
Client Address
Client Address Length
Client certificate thumbprint
Client Name
Client Name Length
Computer
Connection GUID
Connection ID
Connection Type
Creator Subject: Account Domain
Creator Subject: Account Name
Creator Subject: Logon ID
DestinationHostname
DestinationIp
DestinationIsIpv6
DestinationPort
DestinationPortName
Detailed Authentication Information: Authentication Package
Detailed Authentication Information: Logon Process
Detailed Authentication Information: Transited Services
Failure Reason
GroupMembership
Image
ImpersonationLevel
Initiated
Instance Name
IP
Key Length
LM Package Name
Local Address
Logon Information: Remote Credential Guard
Logon Information: Restricted Admin Mode
Logon Type
Mechanism
MIC Status
Network Information: Source Network Address
Network Information: Source Port
Network Information: Workstation Name
New Logon: Logon GUID
New Logon: Logon ID
NTLM Security: Channel Binding
NTLM Security: Negotiated Flags
NTLM Security: Session Key Status
NTLM Version
Object: Object Type
Port Origin
Process
Process GUID
Process ID
Process: Process ID
ProcessPID
Protocol
ReasonCode
Remote Address
Remote Client Information: Client IP
Remote Client Information: Client Network Name
Remote Client Information: Domain
Remote Client Machine
Requested Operation: Desired Access
Requested Operation: Privileges
Rule Name
Server name
Service Binding
Service Host Tag
Session GUID
Session ID
Session ID
Share Information: Share Name
Share Information: Share Path
Source Workstation
SourceHostname
SourceIp
SourceIsIpv6
SourcePort
SourcePortName
SPN
SPN Validation Policy
Status
Status Message
Sub Status
Subject: Account Name
Subject: Security ID
Target Domain
Target Machine
Target Subject: Security ID
ThreadID
Translated Status
User
User
Username
UserName Length
UTC Time

Брутфорс доменных учетныз записей по протоколу SMB

Неопределено (4000 "Microsoft-Windows-SMBServer/Connectivity") Неопределено

An account was logged off (4634 "Security")

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

An account was logged off (4634 "Security")

SOCpedia - платформа знаний