Escenario — Calzado Andino, el pod con un destino nuevo

5 tareas · 52 min · Principiante

Escenario del módulo. Jueves 29 de octubre, 09:40. Otro cliente del SOC, Calzado Andino, y otro clúster, cza-prod. El monitor de red marcó de madrugada que un pod de la carga de reportes habló con un destino fuera del clúster con el que nunca había hablado. Con la autorización del cliente se exportaron la auditoría de la API, los eventos del sensor de ejecución, los despliegues, el registro de imágenes, los flujos, la línea base y los permisos. No hay paso a paso: encuentra el destino, de dónde salió la imagen que corría, qué pidió a la API el pod, cuánto salió y cómo se escribe el cierre. Todo es lectura de tablas ya escritas.

0 de 5 · 0%

Objetivo de la sala

Hay un destino fuera del clúster con el que el pod de reportes no habla en los últimos 30 días. Está en los flujos de la madrugada y no está en su línea base.

Responde para continuar

Escribe la dirección IP del destino externo nuevo.

Un despliegue puso la imagen de reportes en el clúster la noche anterior. Su procedencia se comprueba cruzando el despliegue con lo que pasó en el registro de imágenes ese día con la misma etiqueta.

Responde para continuar

Escribe el digest de la subida de esa etiqueta que no está firmada.

El pod habló con la API antes de salir hacia fuera, con la identidad de su cuenta de servicio. De sus peticiones, una leyó un secreto con éxito y otra fue rechazada.

Responde para continuar

Escribe el nombre del secreto que la cuenta del pod leyó con éxito.

El destino nuevo recibió varios flujos agregados del pod de reportes esa madrugada. Usa megabytes de 1 000 000 de bytes.

Responde para continuar

¿Cuántos megabytes se enviaron en total al destino nuevo?

Hay una imagen sin firma, subida con una etiqueta que ya existía y desde una dirección que no es la de la canalización. Esa imagen corre en un pod que leyó un secreto de su namespace y, minutos después, empezó a enviar volumen hacia un destino nuevo. Un sensor de ejecución vio un proceso nuevo y una conexión no habitual. Falta decidir cómo se informa.

Responde para continuar

¿Cómo se cierra el caso?

Se declara exfiltración confirmada de la base de datos de producción y se pide aislar todo el clúster hasta cerrar la investigación Se cierra como actividad normal de reportes, porque el tráfico fue por el puerto 443 y el despliegue lo hizo la canalización Se escala con la cadena observada, se separa lo probado de lo que falta (qué contenía el tráfico, qué hizo el proceso con el secreto) y se recomienda contención a quien administra el clúster

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El destino Lab

2 La imagen Lab

3 Lo que pidió a la API Lab

4 El volumen Lab

5 Cómo se cierra Lab

Whoami-Labs Pro utiliza cookies