Escenario, la captura de diez minutos de Agropecuaria Támesis

5 tareas · 52 min · Principiante

Escenario del módulo. Jueves 25 de marzo, 10:40, hora de Colombia. Otro cliente del SOC, Agropecuaria Támesis (empresa inventada para este laboratorio), y una captura de diez minutos tomada del puerto espejo, con Zeek y Suricata mirando el mismo tráfico. Nada de lo que viste en las salas anteriores resuelve esto por sí solo. Tienes las propiedades y las conversaciones de la captura, los registros de conexión, de nombres y de saludos TLS, la cola de Suricata, el inventario con lo que cada equipo tiene permitido hablar y las ventanas de trabajo aprobadas. No hay paso a paso: encuentra la conversación que no corresponde, qué dice de ella cada fuente y cómo se cierra. Todo es lectura de registros ya escritos.

0 de 5 · 0%

Objetivo de la sala

En la captura hay conversaciones grandes, una alerta y varias rutinas. Un buen punto de partida no es el tamaño ni la gravedad, sino lo que cada equipo tiene permitido. El inventario dice con quién puede hablar cada uno; una conversación que se sale de eso es la candidata.

Responde para continuar

Escribe el nombre del equipo cuya conversación hacia el exterior no está entre sus destinos permitidos.

Para anotar el hallazgo en el caso hace falta el nombre propio de esa conversación en los registros de Zeek, que es el que permite volver a ella desde cualquier otro registro.

Responde para continuar

Escribe el uid de la conversación de ese equipo hacia el exterior.

La dirección de destino es un número. El nombre con el que el equipo la pidió, y que viaja a la vista en el saludo, dice más sobre el sitio y es lo que se entrega a quien debe revisarlo.

Responde para continuar

Escribe el nombre de servidor que pidió ese equipo en el saludo de la conversación.

El alcance se mide con bytes de carga enviados por el equipo, no con los totales de la conversación, que incluyen lo que recibió. Hay un registro que lo separa en dos cifras.

Responde para continuar

Escribe cuántos bytes de carga envió ese equipo en esa conversación.

La cola de Suricata trae una alerta de exploración de puertos desde un equipo interno hacia el servidor del ERP, con dos intentos que el servidor rechazó, y otra de una transmisión de video desde un puesto de ventas. La conversación del respaldo es la más grande de la captura y sale del servidor del ERP hacia la nube de respaldo contratada. La báscula habló con un sitio de fuera durante casi todo el tiempo de la captura, sin ninguna alerta, mientras su hermana de la otra báscula solo habló con el ERP. Hay una ventana de trabajo aprobada para el equipo del escáner. Hay que escribir el cierre.

Responde para continuar

¿Cómo se cierra el caso?

Se escala atm-bascula-02 como posible salida de datos con su evidencia; la exploración es trabajo aprobado con solicitud y el respaldo es rutina Se escalan por igual la exploración de puertos, el respaldo y la báscula, porque cualquier tráfico fuera de lo habitual merece el mismo trato Se cierra todo como falso positivo, porque la cola de Suricata solo trae dos alertas y ninguna menciona la báscula, así que no hay nada que escalar

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Quién no debería hablar con fuera Lab

2 El nombre de la conversación Lab

3 A quién le habló Lab

4 Cuánto salió Lab

5 Cómo se cierra Lab

Whoami-Labs Pro utiliza cookies