Escenario: Quesos del Guavio, reconstruir la sesión

5 tareas · 55 min · Principiante

Otra empresa, otra red y nadie que te diga qué registro abrir. Quesos del Guavio, una láctea con planta y oficinas, recibe el aviso de su proveedor de correo: un enlace de «cotización» llegó una mañana a alguien de Compras. El 13 de abril de 2027 te piden reconstruir, con los registros de Zeek, qué hizo el equipo implicado y qué se puede afirmar. Tienes el encargo, el inventario y los registros de nombres, conexiones, peticiones web, conexiones cifradas y archivos de la ventana de las 10:30 a las 12:00 UTC. Son extractos de ejemplo, sin ninguna ejecución. No hay pistas: cruza los registros por uid, por dirección y por hora.

0 de 5 · 0%

Objetivo de la sala

Hay dos equipos que pidieron el mismo nombre de proveedor en la ventana, pero solo uno recibió un archivo de él. Un archivo recibido deja fila en el registro de archivos con quién lo recibió, y el inventario traduce una dirección al nombre del equipo.

Responde para continuar

¿Cuál es el nombre del equipo que recibió el archivo comprimido del proveedor?

Tras la descarga, el mismo equipo mantiene conexiones cifradas con un destino nuevo. Las conexiones pequeñas y repetidas se leen por su cadencia: el tiempo entre una y la siguiente, calculado con la hora de inicio de dos conexiones consecutivas.

Responde para continuar

¿Cada cuántos segundos se repite la conexión cifrada pequeña desde el equipo implicado?

Las conexiones cifradas no muestran su contenido, pero el registro de conexiones cifradas anota el nombre de servidor que el cliente pidió en el saludo.

Responde para continuar

¿Qué server_name piden las conexiones cifradas periódicas del equipo implicado? Escríbelo tal cual.

Una conversación del mismo equipo hacia ese destino es mucho más larga y envió muchos más bytes de los que recibió. Un megabyte, para este cálculo, son un millón de bytes; se redondea hacia abajo.

Responde para continuar

¿Cuántos megabytes envió el equipo implicado en su conversación más pesada hacia ese destino? Escribe solo el número entero.

El informe separa lo observado de lo inferido y de lo que no se sabe. Con estos registros hay hechos que se sostienen con uid y hechos que no.

Responde para continuar

¿Qué afirmación redactas en el informe sin pasarte de lo que los registros sostienen?

Recibió el archivo y luego contactó periódicamente un destino nuevo; no consta si se abrió ni qué subió El archivo era un programa dañino que infectó el equipo y la subida llevaba datos de la empresa Nada se puede afirmar, porque el cifrado impide cualquier conclusión sobre el equipo

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El equipo que descargó Lab

2 El ritmo del canal Lab

3 El nombre que se pidió Lab

4 La subida mayor Lab

5 Lo que los registros permiten afirmar Lab

Whoami-Labs Pro utiliza cookies