Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — un Mac de diseño en Cerámicas del Huila

5 tareas · 50 min · Principiante

Escenario del módulo. Miércoles 14 de octubre, 08:00. Otro cliente del SOC, Cerámicas del Huila, y otro equipo: chu-mac-07, el Mac de la jefa de diseño, Natalia Correa. A las 03:30 de esta madrugada su agente de seguridad anotó una salida de datos que el equipo de TI no reconoce. Tienes lo que el agente exportó (registro, eventos de seguridad, trabajos declarados y árbol de procesos), las conexiones abiertas, el estado de los controles y el inventario de la gestión de dispositivos. No hay paso a paso: encuentra qué elemento arranca solo sin respaldo, qué decisión del usuario lo precedió, qué proceso hizo la salida, a dónde fue y cómo se cierra el caso. Todo es lectura de tablas ya escritas.

0 de 5 · 0%

Objetivo de la sala

Escenario del módulo. Miércoles 14 de octubre, 08:00. Otro cliente del SOC, Cerámicas del Huila, y otro equipo: chu-mac-07, el Mac de la jefa de diseño, Natalia Correa. A las 03:30 de esta madrugada su agente de seguridad anotó una salida de datos que el equipo de TI no reconoce. Tienes lo que el agente exportó (registro, eventos de seguridad, trabajos declarados y árbol de procesos), las conexiones abiertas, el estado de los controles y el inventario de la gestión de dispositivos. No hay paso a paso: encuentra qué elemento arranca solo sin respaldo, qué decisión del usuario lo precedió, qué proceso hizo la salida, a dónde fue y cómo se cierra el caso. Todo es lectura de tablas ya escritas.

Entre los trabajos que se declaran en chu-mac-07 hay varios con un cambio aprobado detrás y uno que apareció sin ninguno.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la etiqueta (label) del trabajo declarado que no tiene un cambio aprobado detrás.

El elemento no apareció solo: lo dejó un instalador que la usuaria abrió el día anterior. Hubo dos autorizaciones manuales de Gatekeeper ese día, pero solo una corresponde a ese instalador.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la hora en que la usuaria autorizó el instalador que dejó el trabajo sin respaldo.

A las 03:30 el trabajo arrancó por su calendario y lanzó otro proceso. Ese segundo proceso es el que tiene una conexión abierta hacia afuera.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el pid del proceso que envió datos fuera de la empresa en esa madrugada.

La conexión del proceso anterior tiene un destino que no es de la empresa ni está en ninguna lista de proveedores del cliente.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección IP de destino de esa salida.

Hay un instalador autorizado a mano, un trabajo declarado sin cambio, un permiso de privacidad concedido a un programa sin firma, una ejecución programada a las 03:30 y una salida de 48 megabytes hacia una dirección externa. Falta decidir qué se hace con el caso.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo se cierra el caso?

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Conectando con la base…

SIEM · Cerámicas del Huila — chu-mac-07, 13 y 14 de octubre
KQL · consultas previstas

Tablas

registro

  • hora
  • proceso
  • subsistema
  • categoria
  • nivel
  • mensaje

eventos_es

  • hora
  • evento
  • proceso
  • padre
  • firma_id
  • objetivo

plists

  • carpeta
  • label
  • programa
  • calendario
  • cambio

procesos

  • pid
  • ppid
  • proceso
  • usuario
  • plataforma

conexiones

  • pid
  • destino
  • puerto
  • mb_enviados

postura

  • equipo
  • gatekeeper
  • sip
  • perfil_edr
  • ultima_conexion_mdm
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad