_ DESCIFRANDO CONEXIÓN SEGURA...

Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario, la cuenta de pagos de Hilanderías del Fonce

5 tareas · 50 min · Principiante

Escenario del módulo. Martes 27 de octubre, 07:50, hora de Colombia. Otro cliente del SOC, Hilanderías del Fonce (empresa inventada para este laboratorio), y una alerta de la noche: una regla de bandeja nueva en el buzón de agaitan, analista de pagos. Nada de lo que viste en las salas anteriores resuelve esto por sí solo. Tienes el registro de auditoría de la última semana para tres cuentas, el registro de inicios de sesión de Entra, las licencias y las solicitudes de cambio aprobadas. No hay paso a paso: decide con qué inicio de sesión empezó, qué quedó configurado en el buzón, cuánto correo se abrió y cómo se cierra el caso. Todo es lectura de tablas ya escritas, en UTC.

0 de 5 · 0%

Objetivo de la sala

Escenario del módulo. Martes 27 de octubre, 07:50, hora de Colombia. Otro cliente del SOC, Hilanderías del Fonce (empresa inventada para este laboratorio), y una alerta de la noche: una regla de bandeja nueva en el buzón de agaitan, analista de pagos. Nada de lo que viste en las salas anteriores resuelve esto por sí solo. Tienes el registro de auditoría de la última semana para tres cuentas, el registro de inicios de sesión de Entra, las licencias y las solicitudes de cambio aprobadas. No hay paso a paso: decide con qué inicio de sesión empezó, qué quedó configurado en el buzón, cuánto correo se abrió y cómo se cierra el caso. Todo es lectura de tablas ya escritas, en UTC.

La alerta habla de una regla de bandeja creada en la noche. Todo lo que ocurre en una sesión empieza con un inicio de sesión, y ese inicio vive en otro registro. Hay que encontrar el que abrió la sesión desde la que se creó la regla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la hora UTC (HH:MM:SS) del inicio de sesión de Entra que abrió la sesión desde la que se creó la regla de bandeja.

La regla se creó desde Outlook en la web. Sus parámetros dicen qué mensajes toca y qué hace con ellos, y su nombre es lo que se ve en la lista de reglas de la persona.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre de la regla de bandeja que creó la cuenta de agaitan.

En el mismo buzón hay un cambio de propiedades que no es una regla, y otro cambio de propiedades en el buzón de otra compañera que tiene una solicitud detrás. Solo uno de los dos manda correo fuera de la organización.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección externa a la que se reenvía el correo del buzón de agaitan.

El acceso al correo se registra por intervalos: cada registro agrupa los mensajes abiertos de forma individual en esos minutos. Esa sesión hizo más de un acceso, y las de otros momentos son las habituales de la dueña, que no cuentan para el alcance.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántos mensajes se abrieron de forma individual en la sesión desde la que se creó la regla.

Hay una sesión que empieza en una dirección y una forma de entrar que la cuenta no usa, sin segundo factor; en ella, una regla que esconde correo de pagos, un reenvío externo, una cantidad de correo abierta, dos descargas de archivos de tesorería y un mensaje enviado a un tercero con un asunto sobre una cuenta de pago. Aparte, el buzón de otra compañera tiene una regla del cliente de escritorio y un reenvío interno con solicitud aprobada. La cuenta de agaitan tiene licencia E3 y la actividad fue anoche. Hay que escribir el cierre.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo se cierra el caso?

Se cierra como falso positivo, porque la regla solo mueve correo a una carpeta y el reenvío está en el propio buzón de la persona Se escala la cuenta de agaitan como probable fraude de pagos, con su evidencia; el reenvío de rsandoval queda como cambio aprobado Se escalan los dos buzones por igual, porque cualquier regla o reenvío fuera de lo normal es sospechoso aunque tenga una solicitud detrás

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Auditoría y Entra · Hilanderías del Fonce — martes 27 de octubre

KQL · consultas previstas

Tablas

auditoria

id
creado_utc
workload
operacion
usuario
ip
sesion
detalle

inicios_entra

creado_utc
usuario
ip
aplicacion
cliente_app
segundo_factor
resultado
ubicacion

licencias

usuario
rol
licencia

solicitudes

solicitud
fecha
buzon
que_se_aprobo

Ctrl + Enter

Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad