4624 und 4625 geben dir erfolgreiche und fehlgeschlagene Logons mit Logon-Typ und Quelle. 4768, 4769 und 4771 decken Kerberos-Ticket-Aktivität ab und tragen deine Signale für Kerberoasting und Password Spraying. 4648 zeigt explizite Credential-Nutzung, 4672 markiert privilegierte Logons, 4720 und 4732 decken Konto- und Gruppenänderungen ab, 7045 und 4698 fangen Remote Execution und Persistence. Korrelier sie nach Konto, Quell-Host und Zeit.
Warum Interviewer das fragen
Der Interviewer prüft praktische Log-Vertrautheit, die man nicht durch das Lesen einer Übersichtsseite vortäuschen kann. Sie wollen sehen, dass du weißt, welche Felder in diesen Events zählen (Logon-Typ, Ticket-Verschlüsselungstyp, Quell-Netzwerkadresse), und dass du korrelierst statt Events isoliert zu lesen. Die Audit-Policy-Einstellungen zu benennen, die nötig sind, um sie überhaupt zu erzeugen, zeigt, dass du das konfiguriert und nicht nur abgefragt hast.
So baust du deine Antwort auf
- Gruppier die IDs danach, was sie belegen: Authentifizierung, Privileg, Execution, Persistence.
- Nenn die konkreten Felder, die du in jedem Event liest.
- Beschreib, wie du sie zu einer Zeitleiste korrelierst.
- Erwähn die Audit Policy, die vorher aktiv sein muss.
Beispielantwort
Ich gruppiere sie danach, was sie belegen. Authentifizierung: 4624 und 4625, und mich interessiert die ID weniger als Logon-Typ und Quell-Netzwerkadresse, denn ein Typ 3 von einem unerwarteten Host ist die Geschichte. Kerberos: 4769 mit RC4-Verschlüsselung gegen ein Service-Konto ist mein Kerberoasting-Signal, und eine Flut von 4771 über viele Konten ist Spraying. Privileg: 4672 sagt mir, dass der Logon administrative Rechte trug. Credential-Nutzung: 4648 fängt explizite Credentials im runas-Stil, was häufig ist, wenn jemand gestohlene Passwörter durchprobiert. Dann Execution und Persistence: 7045 Service Installs und 4698 Scheduled Tasks. Ich ziehe all das in eine einzige Zeitleiste, gekeyt auf Konto und Quell-Host, denn ein einzelnes 4624 heißt nichts und die Sequenz heißt alles. Vor all dem prüfe ich die Audit Policy, denn in einem Einsatz hatten wir fast gar keine 4769: Kerberos-Auditing war nie eingeschaltet worden, und das war ein eigener Befund im Bericht.
Steht dieses Vorstellungsgespräch bald an? GhostPilot hört bei deinem Live-Call mit, erkennt die Frage in dem Moment, in dem sie gestellt wird, und bringt dir eine strukturierte Antwort in Echtzeit auf den Bildschirm. Probier es im nächsten Mock aus, oder hol dir einen $29 Session Pass, kein Abo, für den Ernstfall.
So funktioniert esNachfragen, mit denen du rechnen solltest
- Wie würdest du ein gefälschtes Kerberos-Ticket in diesen Logs erkennen?
- Was verlierst du, wenn der Angreifer das Security-Log leert?
- Wie lange hältst du diese Logs vor und warum?
Weitere Fragen für Cybersecurity Analyst
Dein Interviewer stellt seine eigene Version davon. Kopier deine echte Stellenbeschreibung in den kostenlosen Question Predictor und bekomm die 20 Fragen, die diese Rolle am wahrscheinlichsten stellt, samt dem, worauf jede wirklich abzielt.
Meine Fragen vorhersagen