Detecciones, indicadores e informe

5 tareas · 55 min · Principiante

Simulacro, última sala del caso de Trilladora Zuleta. Lunes 22 de febrero, media tarde. La jefatura quiere el informe antes de que acabe el día: qué señales había y qué pasó con ellas, qué indicadores sirven para buscar en el resto de la empresa y cuáles no, qué se rota y qué se puede decir de quién fue. Tienes las nueve etapas del caso con su regla y su alerta, el ruido de cada regla, los candidatos a indicador y los rasgos que alguien podría usar para atribuir. Aquí no hay pistas: es el cierre del caso, y todo es lectura de evidencia ficticia.

0 de 5 · 0%

Objetivo de la sala

De las alertas que sonaron antes del cifrado, algunas se atendieron mal. Una alerta cerrada con una explicación que ningún ticket respalda es una señal perdida. Busca entre las cerradas sin ticket la más temprana: es donde el caso pudo haberse cortado antes.

Responde para continuar

Escribe el identificador de la alerta cerrada sin ticket que sonó primero.

Un indicador sirve si distingue lo malo de lo normal en tu propia empresa. Un valor que se ve a diario en decenas de equipos dispararía alertas a todas horas y acabaría ignorado. El informe estático lista un nombre de archivo entre las cadenas de la muestra y la empresa lo conoce bien.

Responde para continuar

Escribe el candidato a indicador que no sirve porque la empresa lo ve a diario.

La evidencia tocó tres cuentas: lrestrepo, en cuya sesión se ejecutó lo primero; adm-zul, que abrió sesión en dos servidores de archivos desde el puesto de Compras; y svc-bkp-zul, cuya contraseña cambió adm-zul el 18 de febrero y que luego detuvo el respaldo y borró las copias. Rotar es cambiar la credencial y cerrar las sesiones abiertas, y se hace con autorización del responsable de cada sistema.

Responde para continuar

¿Qué cuentas se rotan, y con qué criterio?

Solo la de lrestrepo, que es donde se ejecutó el adjunto; las otras dos se revisan después Todas las cuentas del dominio a la vez y sin mirar la evidencia, porque no se sabe qué más pudo tocar el actor ni cuándo Las tres con evidencia de uso, primero las de administración y servicio, y las demás solo si aparecen en la evidencia

El resumen ejecutivo lo leen quienes deciden, y suelen pedir un nombre. La atribución se sostiene solo con rasgos difíciles de copiar, y la tabla de rasgos del caso dice con qué cuenta Zuleta. Redacta la frase pensando en lo que pasaría si dentro de un mes aparece una evidencia distinta.

Responde para continuar

¿Qué dice el resumen ejecutivo sobre la autoría?

Que los rasgos los comparten muchos grupos y se copian con facilidad, y que la autoría queda sin determinar Nada sobre la autoría, porque sin un nombre el resumen ejecutivo no tiene qué contar Que el caso corresponde a un grupo conocido, porque la nota, la extensión y la dirección coinciden con otras campañas anteriores

La jefatura quiere una cifra: cuánto tiempo pasó entre la alerta cerrada de la primera tarea y el primer archivo renombrado, para decidir si el problema fue de herramienta o de atención. Usa la hora de la alerta, no la del hecho, y cuenta horas completas en hora local.

Responde para continuar

¿Cuántas horas completas pasaron entre esa alerta y el primer archivo renombrado?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La alerta que se cerró sin respaldo Lab

2 El indicador que no sirve Lab

3 Qué cuentas se rotan

4 Qué se dice de quién fue Lab

5 El margen de la alerta Lab

Whoami-Labs Pro utiliza cookies