Escenario — el incidente completo de Alto Guayabal

5 tareas · 55 min · Principiante

Escenario del módulo. Viernes 2 de octubre, 09:00. Otra organización, la Cooperativa Cafetera Alto Guayabal, y un incidente que el jueves abrió una alerta alta por la tarde y terminó con un portátil de Ventas aislado de la red. Tienes lo que dejaron el sensor de red, el servidor de correo, el portátil, el servidor de facturas y el cortafuegos, más el calendario de respaldos autorizados. No hay paso a paso: pon todo en un mismo reloj, identifica el archivo y el programa, mide lo que salió y decide qué se puede afirmar en el informe y qué no.

0 de 5 · 0%

Objetivo de la sala

El incidente se abrió con una alerta por la tarde, pero la historia empieza antes. Una de las fuentes dice dónde: un correo que llegó esa mañana y que trae un enlace hacia un dominio que después aparece en el DNS del sensor.

Responde para continuar

Escribe la hora UTC, en formato hh:mm:ss, del primer evento que la evidencia permite enlazar con el incidente.

El sensor reconstruyó tres archivos esa mañana. Dos son lo que parecen. Uno lleva un nombre de documento y es otra cosa.

Responde para continuar

Escribe la huella del archivo cuyo nombre y cuyo tipo real no coinciden.

El sensor ve las llamadas periódicas del portátil hacia 198.51.100.36. No dice qué programa las hace. El registro del portátil sí, pero con un reloj que no es el real, y hay más de un proceso en esa cadena.

Responde para continuar

Escribe el nombre del proceso que abrió la primera conexión del portátil hacia 198.51.100.36.

Ya hay un portátil aislado, una cuenta activa y un servidor de respaldos que también subió mucho esa tarde. Falta redactar el alcance, y cada frase compromete a la cooperativa.

Responde para continuar

¿Qué escribes en el informe sobre la salida de datos del portátil?

Que lo subido eran las liquidaciones de Finanzas, así que la fuga de datos queda confirmada y se informa como tal Que las dos subidas enormes de SRV-COPIAS son parte de la misma fuga, por haber ocurrido el mismo día y a la misma hora Que el portátil subió mucho a un destino nuevo tras leer Finanzas; no se vio el contenido y la exposición es probable

La dirección va a preguntar cuánto. La respuesta es un piso medido, no una estimación, y solo cuenta lo que el portátil envió al destino que no estaba autorizado.

Responde para continuar

Escribe el total de bytes que PORTATIL-VENTAS-3 envió a bodega-compartida.example, sumando todas sus sesiones.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Dónde empieza Lab

2 El archivo que no es lo que dice Lab

3 Quién abrió la conexión Lab

4 Qué se afirma sobre la salida de datos Lab

5 Lo que salió, como mínimo Lab

Whoami-Labs Pro utiliza cookies