打烊之后

场景

虚构企业 Northstar Ledger 在非工作时段触发了受限数据导出告警。你拿到身份提供商、VPN、API 网关、应用审计、对象存储、EDR、DNS 和出口流量记录。日志包含正常业务、失败认证、测试任务和常见噪声；单条记录不足以证明入侵。

任务要求

1. 识别被滥用的账号、首次可疑的公共源 IP，以及对应 VPN 会话与隧道地址。
2. 确定异常导出对象及其敏感数据集，并用 API 审计与云审计互相印证。
3. 识别执行外传的主机/进程、外部域名和解析 IP，并估算出口字节数。
4. 从与已确认事件对应的导出元数据中恢复 Flag。
5. 给出按 UTC 归一化的关键时间线；解释为何排除至少两个看起来可疑但正常的事件。

证据包

附件在容器启动时根据平台注入的 FLAG 动态生成。建议解压到独立目录，先阅读 case/README.txt，检查文件完整性清单，再开始时间线分析。包内证明字段为密封格式，解封方法见 case/VERIFICATION.txt。

分析提示

• 统一时区和时钟偏差后再关联日志。
• 优先使用会话 ID、request ID、导出 ID、主机名和对象 key 进行交叉验证。
• 区分“身份被使用”“应用创建导出”“工作进程读取对象”和“出站传输”这几个不同事实。
• 不要把某个可疑域名或一次登录失败直接当作入侵结论。