Escenario — la línea de tiempo de un cifrado en Maderas Saravita

5 tareas · 50 min · Principiante

Escenario del módulo. Jueves 14 de enero de 2027, 07:20. Otra empresa —el aserradero Maderas Saravita— y otro caso: el turno de la mañana encontró una nota en las carpetas de contabilidad y nómina y los archivos con una extensión nueva. Te piden la línea de tiempo del incidente, desde el primer acceso hasta el cifrado, y cuánto margen hubo para detenerlo. Tienes los registros de la pasarela de escritorio remoto, los de dos servidores, la exportación del EDR, el estado de las copias y de los respaldos, las alertas del SIEM y la plantilla de línea de tiempo. No hay paso a paso: identifica la cuenta comprometida, ordena los hechos en una sola hora, corrige lo que lo necesite y decide qué señal valía más. Todo es lectura de registros.

0 de 5 · 0%

Objetivo de la sala

La pasarela de escritorio remoto es la puerta de entrada desde internet. Alguna de sus cuentas entró desde un origen que no es el suyo. Cruza la pasarela con el historial de orígenes.

Responde para continuar

Escribe la cuenta que accedió a la pasarela desde un origen que no figura en su historial.

Desde la pasarela, la cuenta abrió sesión dentro de la red. Hay que saber dónde fue lo primero que hizo adentro, porque ahí empieza la investigación del movimiento.

Responde para continuar

Escribe el primer servidor interno donde esa cuenta abrió sesión.

Una de las fuentes tiene el reloj fuera de hora respecto al EDR. Un evento de ese servidor es clave para saber cuándo se abrió la puerta a la nómina, y tiene que ir a la línea con su hora corregida.

Responde para continuar

Escribe la hora local corregida (HH:MM:SS) del inicio de sesión de la cuenta de administración en el servidor de nómina.

La dirección quiere saber cuánto tiempo hubo entre que el actor entró y que empezó el cifrado, para decidir si el problema fue de detección o de respuesta.

Responde para continuar

¿Cuántas horas completas pasaron entre el acceso a la pasarela y el primer archivo renombrado, en hora local?

Hay cuatro alertas en el SIEM. Todas sonaron y ninguna cambió el resultado. Con lo que ves de margen, ruido y estado, decide cuál de ellas es la que conviene reforzar primero para que en otro caso sí lo cambie.

Responde para continuar

¿Qué alerta se refuerza primero y por qué?

La de acceso desde origen nuevo: más de dos días de margen y un ruido asumible si se atiende en la jornada La de servicio de respaldo detenido: tiene pocos falsos positivos y es la última señal que queda antes del cifrado La de renombrado masivo: es la más fiable de las cuatro, sin un solo falso positivo, y cualquier otra sería ruido

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La cuenta que no era ella Lab

2 El primer servidor interno Lab

3 El reloj que no coincide Lab

4 El margen Lab

5 Qué habría detenido el caso Lab

Whoami-Labs Pro utiliza cookies