Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — el mapa de una muestra en Frigorífico Ochomogo

5 tareas · 55 min · Principiante

Escenario del módulo. Jueves 4 de marzo, 08:30. Otra empresa —Frigorífico Ochomogo— y otra muestra, sin relación con la harinera. El EDR retuvo en un puesto de despacho un programa que llegó por correo y ya se había abierto, y el equipo de respuesta necesita su comportamiento descrito con los tres marcos públicos para compartirlo con el SOC externo y con la aseguradora, junto con las contramedidas que faltan en la empresa. Tienes los hallazgos del análisis, extractos de ATT&CK, del Malware Behavior Catalog y de D3FEND, el inventario de programas sanos y el de controles. No hay paso a paso: decide qué entra en el mapa, con qué código y en qué estado, y qué se propone.

0 de 5 · 0%

Objetivo de la sala

Escenario del módulo. Jueves 4 de marzo, 08:30. Otra empresa —Frigorífico Ochomogo— y otra muestra, sin relación con la harinera. El EDR retuvo en un puesto de despacho un programa que llegó por correo y ya se había abierto, y el equipo de respuesta necesita su comportamiento descrito con los tres marcos públicos para compartirlo con el SOC externo y con la aseguradora, junto con las contramedidas que faltan en la empresa. Tienes los hallazgos del análisis, extractos de ATT&CK, del Malware Behavior Catalog y de D3FEND, el inventario de programas sanos y el de controles. No hay paso a paso: decide qué entra en el mapa, con qué código y en qué estado, y qué se propone.

El SOC externo trabaja con ATT&CK y pide primero cómo vuelve a arrancar la muestra, con el nivel de detalle que la evidencia permita.

Responde para continuar

Escribe el identificador ATT&CK con el que se mapea la persistencia de FO-3318.

El equipo de análisis externo describe las muestras con el Malware Behavior Catalog y quiere el código de lo que hace la muestra con su propio archivo nada más copiarse.

Responde para continuar

Escribe el identificador MBC de ese comportamiento.

La aseguradora va a leer el mapa como una lista de lo que la muestra hizo. Uno de los hallazgos entra en el mapa, pero no como algo que se haya observado.

Responde para continuar

Escribe el identificador del hallazgo que entra como capacidad y no como comportamiento observado.

Con el mapa hecho, el equipo de respuesta cruza las técnicas con D3FEND y con el inventario de controles. Para la persistencia hay más de una contramedida de detección relacionada, y no todas existen en Ochomogo.

Responde para continuar

Escribe el identificador D3FEND de la contramedida de detección relacionada con la persistencia que Ochomogo no tiene.

La jefatura pide una propuesta corta de contramedidas para la próxima muestra de esta familia, sin vender como cubierto lo que no lo está.

Responde para continuar

¿Qué propuesta sostiene el material del caso?

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad