Los indicadores que lo habrían detenido

4 tareas · 40 min · Principiante

Reconstruida la línea, la pregunta útil ya no es qué pasó sino dónde se pudo parar. En casi todos los casos de cifrado hay señales anteriores: alertas que sonaron y se cerraron, reglas que no existían, reglas tan ruidosas que nadie las atendía. Lunes 7 de diciembre, Empaques Yaguará: siete etapas de la intrusión, la regla que cubría cada una, qué pasó con su alerta y cuánto ruido hacía la regla. Se evalúa evidencia ya ocurrida; no se prueba ninguna regla contra sistemas reales ni se ejecuta ninguna de las etapas.

0 de 4 · 0%

Objetivo de la sala

Una alerta cerrada con una explicación sin respaldo es peor que una regla que no existe: da la sensación de que se miró. Una buena cerrada cita su ticket o su dueño; una mala cierra con una etiqueta («mantenimiento») que nadie puede comprobar.

La tabla de etapas trae el estado final de cada alerta. Busca la que se cerró con una explicación sin respaldo.

Responde para continuar

Escribe el identificador de la alerta que se cerró como mantenimiento sin ningún ticket que lo respaldara.

Ver pista de ayuda

Ejecuta `SELECT * FROM etapas ORDER BY n` y lee la columna `estado`.

Para elegir qué regla reforzar no sirve «la más fiable» ni «la primera». Se cruzan tres cosas: cuánto margen da antes del cifrado, cuánto ruido hace (una regla con decenas de falsos positivos al mes se ignora) y qué se puede hacer al recibirla. Una alerta del cifrado en curso es muy fiable y ya no sirve para detenerlo.

Sin regla, además, no hay alerta que reforzar: hay una regla que escribir.

Responde para continuar

Para detener el cifrado antes de que empiece, ¿qué regla se refuerza primero?

La del renombrado masivo, porque es la más fiable de todas y solo tuvo un falso positivo en el mes La de administración desde una estación de planta: dos días de margen y solo dos falsos positivos La de la VPN con origen nuevo, porque es la primera señal y por eso la que más margen da siempre

Ver pista de ayuda

Mira `reglas` para el ruido y `etapas` para la hora de cada una frente al primer renombrado.

El margen de una alerta es lo que hubo desde que sonó hasta el primer archivo cifrado. Cuantificarlo convierte el «se pudo evitar» en una cifra con la que se negocia: qué turno, qué prioridad y qué proceso habría cambiado el resultado.

Se calcula en horas completas con la hora de la etapa y la del primer renombrado, ambas en hora local; la segunda está en la nota de la primera consulta.

Responde para continuar

¿Cuántas horas completas de margen dio la alerta cerrada sin ticket antes del primer renombrado?

Ver pista de ayuda

Resta la hora de la etapa 3 de `etapas` al primer renombrado de la nota.

Entre las reglas que sonaron antes del domingo, algunas hicieron ruido y otras no. Las silenciosas son las que más conviene atender, porque cuando suenan casi siempre es verdad. Si además suenan temprano, son las candidatas a convertirse en una respuesta automática o en una guardia.

Responde para continuar

Escribe la regla que no dio falsos positivos en los 30 días previos y disparó con más antelación al cifrado.

Ver pista de ayuda

Cruza `reglas` (falsos positivos en cero) con la hora de sus etapas en `etapas`, y elige la más temprana.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La alerta que sonó y se cerró Lab

2 Qué regla vale más Lab

3 El margen perdido Lab

4 Antelación y silencio Lab

Whoami-Labs Pro utiliza cookies