Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — aislar o no aislar

5 tareas · 60 min · Principiante

Escenario del módulo. Martes 17 de noviembre, 11:45. Otra semana, otras máquinas y otra historia — nada de lo del puesto de compras resuelve esto. La consola tiene dos detecciones con once minutos de diferencia: una en el puesto de alguien de logística y otra en un servidor del que depende el despacho de tres centros de distribución. Las dos piden una decisión y no es la misma, y ninguna se decide por la gravedad del titular. No hay paso a paso — reconstruye lo que pasó en cada máquina, mira qué hizo el agente en cada una, averigua qué cuesta tocar cada equipo y decide.

0 de 5 · 0%

Objetivo de la sala

Empieza por el servidor y haz lo de siempre — toma el proceso que sigue vivo y sube por sus padres hasta el principio de la cadena. Arriba del todo no hay un documento — hay una sesión abierta con una cuenta. Esa cuenta pasa a formar parte del caso.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre de la cuenta con la que se abrió la sesión remota desde la que arranca la cadena en el servidor.

Ver pista de ayuda

`SELECT * FROM procesos` y lee las filas del servidor de arriba abajo; la columna `usuario` es la misma en las tres, y la primera cuelga de una sesión remota.

Hay una diferencia entre las dos máquinas que cambia por completo la urgencia — en una, la salida a internet no llegó a abrirse; en la otra, la conexión está establecida ahora mismo y ya han salido megabytes. Encuentra ese destino: es el indicador que se bloquea y se busca en el proxy de toda la empresa.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el host externo de la conexión que sigue establecida en el servidor.

Ver pista de ayuda

`SELECT * FROM red_por_proceso` y mira la columna `estado`. Una de las dos filas no está bloqueada; escribe su destino, no su dirección.

En el puesto, el agente estaba en prevención e hizo su trabajo antes de que nadie mirara nada. Aparta el archivo, lo deja fuera de ejecución y guarda su huella. Ese nombre y ese hash son lo que vas a buscar en el resto del parque, empezando por el servidor.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del archivo, con su extensión, que el agente puso en cuarentena en el puesto.

Ver pista de ayuda

`SELECT * FROM cuarentena` devuelve una sola fila; copia el nombre del archivo tal cual, sin la carpeta.

Dos detecciones, dos decisiones. Resuelve primero la fácil, que es la del puesto, y fíjate en qué la hace fácil.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con el puesto de logística?

Cerrarlo sin más, porque el agente lo bloqueó y no queda nada que investigar ahí Aislarlo igual que al servidor, porque las dos detecciones son del mismo incidente y conviene tratarlas igual No aislarlo — ahí el agente ya bloqueó la ejecución y puso el archivo en cuarentena, y no salió un solo byte; se recoge evidencia, se busca ese hash en el resto del parque y se avisa a la persona

Ver pista de ayuda

Mira el estado de la detección del puesto, el estado de su conexión y el de la cuarentena. ¿Queda algo corriendo o saliendo?

Y ahora la del título. Aislar un servidor de producción no es gratis — el agente le corta toda la red salvo el canal con su propia consola, y lo que dependa de ese servidor se detiene hasta que alguien levante el aislamiento. Aquí no hay nodo gemelo, hay 38 personas conectadas y la ventana de parada acordada es el domingo de madrugada. Pero el proceso sigue vivo, el agente de servidores no va a bloquear nada por su cuenta y la conexión lleva rato abierta. Cruza las dos cosas y decide.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con el servidor del almacén?

Aislarlo ya, avisando a la jefatura del almacén, y antes de nada recoger la evidencia — el proceso sigue vivo y la conexión sigue abierta No aislarlo — tres centros dejarían de despachar y 38 personas se quedarían sin sistema a media jornada; se deja en vigilancia hasta la ventana de parada del domingo Aislarlo de inmediato sin avisar a nadie y limpiar el equipo antes de recoger nada

Ver pista de ayuda

Compara lo que cuesta parar el despacho unas horas con lo que sale por una conexión abierta mientras tanto. Y mira el orden de la tabla de acciones — ¿qué deja de existir si limpias primero?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola del agente · del-ws-089 y del-srv-wms02 — martes 17 de noviembre, 11:45

Telemetria, cuarentena y acciones de respuesta · consultas previstas

Tablas

detecciones

id
hora
equipo
que_disparo
confianza
modo
accion_del_agente
estado

procesos

equipo
pid
padre
imagen
ruta
usuario
hora
estado

red_por_proceso

hora
equipo
pid
proceso
destino
ip
enviado
estado

cuarentena

hora
equipo
archivo
sha256
estado

servicio

campo
valor

acciones

accion
que_hace
efecto_en_el_servicio

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Por dónde entró en el servidor Lab

2 Lo que sigue abierto Lab

3 Lo que el agente ya apartó Lab

4 Qué haces con el puesto Lab

5 Aislar o no aislar el servidor Lab

Whoami-Labs Pro utiliza cookies