Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la noche del servidor de nómina

6 tareas · 60 min · Principiante

Escenario del módulo. A las 07:00 del 1 de octubre, el equipo de nómina de Delta Cargo avisa de que su servidor «va lento». Nadie ha visto nada más. Tienes el registro de Seguridad, el de Sistema y la telemetría de Sysmon de `del-srv-nom01` de esa noche, mezclados con la actividad normal del día anterior. No hay paso a paso: reconstruye qué pasó con lo que aprendiste en el módulo, sostén cada respuesta con una fila y decide qué haces con el caso.

0 de 6 · 0%

Objetivo de la sala

Empieza por el registro de Seguridad del servidor. Entre los inicios de sesión normales de la jornada hay una racha de fallos de madrugada seguida de una sesión aceptada que no entra por el teclado. Antes de mirar nada más, identifica la cuenta con la que se abrió.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta con la que se abrió la sesión de escritorio remoto aceptada de madrugada en del-srv-nom01.

Ver pista de ayuda

Empieza por `SELECT * FROM seguridad` y busca la sesión de tipo 10 aceptada después de los 4625 de madrugada.

Una sesión de escritorio remoto siempre viene de otra máquina, y esa máquina pasa a formar parte del caso: si la cuenta se usó desde allí, ese equipo también tiene algo que contar. Identifica la dirección de origen.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección IP de origen de esa sesión de escritorio remoto.

Ver pista de ayuda

Es la misma fila de la tarea anterior; mira también de dónde vienen los fallos que la preceden.

Pocos minutos después de entrar, en el servidor aparece algo nuevo que va a arrancar solo con cada reinicio. Búscalo en el registro de Sistema y compáralo con la otra instalación del día anterior, la que sí tiene dueño.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del servicio instalado de madrugada en del-srv-nom01.

Ver pista de ayuda

`SELECT * FROM sistema` muestra los 7045; compara la ruta y la cuenta de cada servicio nuevo.

El ejecutable de ese servicio no se quedó quieto. Sysmon registró qué escribió en disco, cómo arrancó y a dónde se conectó. Sigue su hilo y encuentra la dirección externa con la que habló: es el indicador que el resto del turno va a buscar en todo el parque.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección IP externa con la que se conectó el ejecutable del servicio nuevo.

Ver pista de ayuda

`SELECT * FROM sysmon` te da la biografía; sigue el process_guid del ejecutable del servicio hasta su evento 3.

Tienes la secuencia completa: fallos de contraseña sobre una cuenta de administración, sesión remota aceptada desde un equipo interno, un servicio nuevo con el ejecutable en una carpeta de datos que corre como LocalSystem, y una conexión a una dirección externa. La cuenta es de administración y el servicio tiene un nombre que suena a la casa. Decide.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con el caso del servidor de nómina?

Lo cierras como benigno: la cuenta es de un administrador y el nombre del servicio indica que es de nómina interna Lo escalas como incidente a respuesta, con la secuencia de eventos, las horas y los indicadores encontrados Lo dejas en observación una semana para ver si el servicio vuelve a conectarse antes de decidir nada

Ver pista de ayuda

Ni el nombre de la cuenta ni el del servicio prueban nada; la secuencia y la hora sí.

Tu reporte de escalado sale con la cuenta, el servicio y la dirección externa. Antes de enviarlo, piensa en lo que el registro dice sin decirlo: la contraseña de una cuenta de administración se probó desde una máquina de la red interna y acabó funcionando.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Además del servidor de nómina, ¿qué más incluyes en el escalado para que se investigue?

Nada más: el incidente está contenido en el servidor donde se instaló el servicio nuevo de madrugada El controlador de dominio, porque toda sesión remota del dominio se origina siempre en él y solo puede venir de allí El equipo 10.4.5.17, porque desde él se probó y se usó la cuenta, y probablemente también está comprometido

Ver pista de ayuda

Una sesión remota viene de otra máquina; quien la abrió estaba sentado, de una forma u otra, en esa máquina.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — del-srv-nom01, 30-sep y 1-oct

OpenSearch · consultas guardadas

Tablas

seguridad

hora
event_id
cuenta
tipo_inicio
ip_origen
estado

sistema

hora
event_id
servicio
ruta
cuenta_servicio
arranque

sysmon

hora
event_id
process_guid
imagen
padre
detalle

Ctrl + Enter

Consola de consultas v1.0 · build b677ef

1 Quién entró Lab

2 Desde dónde Lab

3 Cómo pensaba quedarse Lab

4 A quién llamó Lab

5 El veredicto Lab

6 Lo que el caso no termina en este servidor Lab

Whoami-Labs Pro utiliza cookies