Correo e identidad con dos analistas

5 tareas · 55 min · Principiante

09:35. Llevas dos horas y media de turno y te toca el bloque de correo y de identidad: 96 alertas de correo y 41 de identidad. Tu compañera lleva la red, los puestos y la nube. Hoy no hay quien revise tu trabajo, así que cada cierre en bloque tiene que poder explicarse en una línea a quien lo lea mañana. Tienes las alertas de correo, el seguimiento de mensajes, las campañas que Mercadeo registró, las alertas de identidad, las salidas que TI declaró y los viajes aprobados.

0 de 5 · 0%

Objetivo de la sala

Un mensaje que el cortafuegos de correo entregó como limpio y que horas después cambia de veredicto ya está en los buzones. Lo primero es saber qué mensaje es y de dónde viene.

Responde para continuar

Escribe el dominio del remitente de los mensajes que pasaron de limpios a phishing.

Son tres mensajes, tres destinatarios y ninguna certeza de quién abrió el enlace: el seguimiento de mensajes no lo registra. El enlace se abre en el navegador, y por eso lo ve otra fuente, no esta.

Responde para continuar

¿Qué haces con las tres alertas de reclasificación?

Bloqueas el dominio en el proxy y das el asunto por cerrado sin tocar los buzones, porque sin enlace accesible el mensaje ya no puede hacer daño Las cierras como entregadas y sin clic, porque el seguimiento de mensajes no muestra que nadie abriera el enlace y sin clic no hay incidente que investigar hoy Pides a correo que retire los tres de los buzones, anotas a sus destinatarios y buscas el dominio en el proxy para saber quién llegó a abrir el enlace

Las 88 alertas de remitente nuevo son una sola regla. Una campaña de Mercadeo registrada con el SOC y dentro de su vigencia explica las alertas de su dominio; las de cualquier otro dominio no tienen explicación hasta que se miren.

Responde para continuar

Cierras en bloque las alertas de remitente nuevo cuyo dominio es el de la campaña vigente. ¿Cuántas alertas de esa regla quedan abiertas?

Treinta y cinco alertas de viaje imposible, y una dirección concentra la mayoría con muchas cuentas distintas. Eso no es una persona que viaja; es una red. Antes de cerrar nada hay que contrastar esa dirección con lo que TI declaró como salida propia.

Responde para continuar

Escribe la dirección de la salida de la VPN de las tiendas que concentra las alertas de viaje imposible.

Las alertas de viaje imposible tienen dos explicaciones posibles en esta base: una salida declarada por TI y un viaje aprobado por escrito. Una explicación vale para una alerta solo si cuenta, fecha y dirección coinciden con lo declarado.

Responde para continuar

¿Cómo cierras las 35 alertas de viaje imposible?

30 por la VPN y 5 por los viajes aprobados, con motivo y cuentas anotados; lo que no esté en las dos listas queda abierto Las 35 con el motivo «salida de la VPN», porque es el motivo de la mayoría y escribirlo una sola vez ahorra tiempo en un festivo sin nadie que revise Solo las 30 de la VPN; las cinco de los viajes se dejan abiertas para que las mire quien aprobó cada viaje, aunque cuenta, fecha y dirección coincidan

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que ya estaba en los buzones Lab

2 Qué se hace con los tres Lab

3 Cerrar la campaña, mirar el resto Lab

4 De dónde sale casi todo el viaje imposible Lab

5 Cómo se cierran las 35 Lab

Whoami-Labs Pro utiliza cookies