Detecciones públicas y su ruido

4 tareas · 35 min · Principiante

Las firmas públicas de red para Cobalt Strike a menudo generan falsos positivos con servicios legítimos de actualización. Ajustar y correlacionar es vital.

0 de 4 · 0%

Objetivo de la sala

Las firmas públicas de red para Cobalt Strike a menudo generan falsos positivos con servicios legítimos de actualización. Ajustar y correlacionar es vital.

Ejecuta SELECT * FROM reglas_c2. Revisa la regla NET-C2-01.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué nivel de tasa de falsos positivos presenta la regla NET-C2-01?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el ajuste requerido para reducir el ruido en NET-C2-01.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué ajuste analítico se exige para la regla de red?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la regla de memoria EDR-C2-02.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué nivel de tasa de falsos positivos tiene la regla de memoria RWX?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Combinar red con telemetría de memoria descarta falsos positivos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué una regla de baliza en red debe combinarse con evidencia en memoria del host?

Para confirmar que la periodicidad de red proviene de código inyectado y no de un agente legítimo de monitoreo Para apagar el router en caso de duda Porque el informe requiere dos firmas de analistas

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Reglas de detección públicas de balizas y depuración de falsos positivos

Repositorio de reglas Sigma / Suricata para balizas C2

Tablas

reglas_c2

id_regla
patron_detectado
tasa_falsos_positivos
ajuste_requerido

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Falsos positivos de regla de red Lab

2 Ajuste requerido en red Lab

3 Regla de memoria confiable Lab

4 Correlación de telemetría Lab

Whoami-Labs Pro utiliza cookies