# Кто выпустил гончую. Ищем следы коллекторов BloodHound в логах Windows

DevFeed: [Кто выпустил гончую. Ищем следы коллекторов BloodHound в логах Windows](<https://devfeed.tech/articles/bloodhound-windows-23068.md>)

Original publisher: [Read original article](<https://habr.com/ru/companies/kaspersky/articles/1027132/>)

Author: StepVolg ("Лаборатория Касперского")

Published: 2026-04-24T12:37:53Z

Content type: tutorial

Language: ru

Sources: ["Лаборатория Касперского" RU](<https://devfeed.tech/sources/ru-2.md>)

Topics: [Endpoint Security & XDR](<https://devfeed.tech/topics/endpoint-security-xdr.md>), [Windows](<https://devfeed.tech/topics/windows.md>), [SOC](<https://devfeed.tech/topics/soc.md>)

Tags: [active-directory](<https://devfeed.tech/tags/active-directory.md>), [bloodhound](<https://devfeed.tech/tags/bloodhound.md>), [enumerate](<https://devfeed.tech/tags/enumerate.md>), [red-teaming](<https://devfeed.tech/tags/red-teaming.md>), [sharphound](<https://devfeed.tech/tags/sharphound.md>), [siem](<https://devfeed.tech/tags/siem.md>), [soc](<https://devfeed.tech/tags/soc.md>), [windows](<https://devfeed.tech/tags/windows.md>), [windows-1ad1db2b7e3a](<https://devfeed.tech/tags/windows-1ad1db2b7e3a.md>)

## AI overview

The article examines traces left by BloodHound collectors in Windows logs and discusses detecting Active Directory reconnaissance activity.

## Source excerpt

Служба каталогов Active Directory остается одной из самых популярных целей как среди злоумышленников, так и среди специалистов по Red Teaming и пентестеров. С выходом новых версий операционных систем семейства Windows продолжают появляться новые векторы атак на AD, например атаки на Delegated Managed Service Accounts (dMSA) в 2025-м. В ходе каждой атаки есть этап сбора информации, обнаружение которого является более сложной задачей, чем кажется на первый взгляд. Согласно аналитическому отчету нашего сервиса MDR за 2025 год в целом обнаружение данного этапа атак затруднено из-за большого количества ложных срабатываний, что снижает качество обнаружения и уменьшает вероятность предотвращения атаки, особенно в больших инфраструктурах с тысячами активов. Меня зовут Степан Ляхов, я работаю старшим инженером SOC в "Лаборатории Касперского". В этой статье я хочу рассмотреть один из самых популярных инструментов для сбора информации о домене Active Directory, разобрать, какие следы он оставляет в журналах и как обнаружить его активность. Читать далее