Escenario, el VPN de Lácteos del Sumapaz

5 tareas · 45 min · Principiante

Escenario del módulo. Martes 20 de abril, 08:00. Otra empresa, Lácteos del Sumapaz, y otra semana: nada de lo que viste en las salas anteriores resuelve esto por sí solo. La regla que alerta de fallos de inicio de sesión en el VPN dejó de dar alertas anoche, y a la vez el equipo del turno de madrugada cree haber visto algo raro. El proveedor del concentrador cambió el formato de su registro a medianoche. Tienes veinte líneas sin partir, una tabla con las sondas de monitoreo documentadas y el SIEM, que guarda cada línea como texto. No hay paso a paso: averigua qué dejó de ver la regla, quién entró de verdad, desde qué equipo y qué ruido se puede descartar con una excepción exacta.

0 de 5 · 0%

Objetivo de la sala

La regla se escribió con un patrón para el formato de registro de antes del cambio. A medianoche el formato cambió y la regla no avisó de nada. Antes de seguir, hay que saber cuánto del registro de la noche dejó de existir para ella.

Responde para continuar

Escribe cuántas líneas del registro del VPN no reconoce el patrón del formato anterior.

Con patrones que no dependen del formato se puede volver a mirar la noche entera. Una cuenta acumula varios fallos seguidos desde una misma dirección de fuera y, después, un acierto desde esa misma dirección.

Responde para continuar

Escribe la cuenta que falló cinco veces desde una dirección externa y luego entró desde esa misma dirección.

El nuevo formato añade un campo con el equipo del cliente. Es un campo entre comillas dentro de una línea que ya tiene otro campo entre comillas.

Responde para continuar

Escribe el nombre del equipo cliente con el que esa cuenta consiguió entrar.

Entre los fallos de la noche hay una cuenta que falla cada hora desde una dirección interna, con el mismo motivo. Está documentada en la tabla de sondas.

Responde para continuar

Escribe la cuenta cuyo fallo periódico es de la sonda de monitoreo documentada.

La regla debe volver a ver las dos formas del registro, sin la alerta falsa cada hora y sin que una cuenta con ese nombre quede ciega para siempre.

Responde para continuar

¿Cómo se rehace la regla de fallos de inicio de sesión?

Se cambia a un patrón con .* a los dos lados que casa cualquier línea con FAIL, y se silencia la regla cuando el volumen de la noche sube Se extraen resultado, cuenta y origen con patrones cortos que valen para los dos formatos, y se excluye el par exacto cuenta y origen de la sonda Se amplía el patrón anclado del formato viejo para que también reconozca el nuevo, y se excluye cualquier cuenta que empiece por mon- sin importar su origen

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que la regla dejó de ver Lab

2 Quién entró Lab

3 Desde qué equipo Lab

4 El ruido que sí tiene dueño Lab

5 Cómo se arregla la regla Lab

Whoami-Labs Pro utiliza cookies