Escenario: Una segunda baliza durante una prueba en Central Simacota

4 tareas · 35 min · Principiante

Incidente INC-8890 en Central de Abastos Simacota S.A.S. Durante un ejercicio autorizado de Red Team, los sensores del SOC detectaron una segunda baliza de Cobalt Strike en el servidor de facturación productivo. Debes desconflictuar los datos con el acta oficial y demostrar que se trata de un adversario real.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM analisis_desconflicto. Revisa el Watermark de la segunda baliza.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué Watermark presentó la segunda baliza no autorizada?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el dominio C2 de la segunda baliza.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el dominio C2 utilizado por la segunda baliza?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el host donde se detectó la segunda baliza.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿En qué servidor productivo se detectó la actividad ajena a la prueba?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El analista presenta el veredicto formal ante la White Cell y la gerencia.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el dictamen concluyente del proceso de desconflicción?

La segunda baliza corresponde a una intrusión real y no autorizada de un actor de amenaza que aprovechó la ventana del ejercicio, exigiendo la activación inmediata del plan de respuesta a incidentes La segunda baliza es un falso positivo generado por la impresora del servidor El equipo rojo cometió un error menor y debe permitírsele continuar sin interrupciones

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Central Simacota — Desconflicción de segunda baliza durante prueba Red Team (INC-8890)

Comité de Crisis y White Cell · Central Simacota

Tablas

analisis_desconflicto

elemento_comparado
datos_red_team_oficial
datos_segunda_baliza
veredicto

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Watermark de la segunda baliza Lab

2 Dominio C2 de la intrusión Lab

3 Servidor productivo comprometido Lab

4 Dictamen de desconflicción Lab

Whoami-Labs Pro utiliza cookies