Escenario, la cacería de la planta de Cereté

5 tareas · 45 min · Principiante

Escenario del módulo. Lunes 15 de marzo, 08:00. Otra sede de Molinos del Sinú, la planta de Cereté, y otra semana: nada de lo que viste en las salas anteriores resuelve esto. El equipo de la planta dejó el viernes tres hipótesis escritas y ninguna cacería hecha. Tienes las hipótesis, el catálogo de fuentes, las lecturas de archivos de la semana del 8 al 14, la línea de base de cada cuenta, los cambios aprobados, el inventario y el estado del registro de cada servidor de archivos. No hay paso a paso: decide qué se puede cazar hoy, encuentra lo que se sale de lo normal sin dejarte engañar por lo que tiene dueño, di desde dónde ocurre y cierra la cacería con lo que sostiene y con lo que no puede ver.

0 de 5 · 0%

Objetivo de la sala

Tres hipótesis y ninguna alerta que las respalde. Solo una puede comprobarse hoy con lo que llega al SIEM y con la ventana que pide.

Responde para continuar

Escribe el identificador de la única hipótesis que se puede comprobar hoy con las fuentes disponibles.

La hipótesis comprobable dice que una cuenta con credenciales válidas que recolectó archivos mostraría un día de lectura fuera de su propia historia. Dos cuentas tienen un día muy por encima de su mediana diaria; una de ellas tiene detrás un cambio aprobado.

Responde para continuar

Escribe la cuenta que un día de la semana leyó más de 20 veces su mediana diaria y no tiene un cambio aprobado que lo explique.

Una cuenta no es un hecho aislado: el equipo desde el que lee dice si es su rutina. La línea de base de cada cuenta incluye el equipo habitual.

Responde para continuar

Escribe el nombre del equipo desde el que se hicieron esas lecturas fuera de su día normal.

Alguien del equipo propone convertir la cacería en una regla con umbral fijo: alertar cuando una cuenta lea 500 archivos o más en una hora. Antes de decidir nada se cuenta cuántas veces habría saltado esa regla durante la semana de datos.

Responde para continuar

Escribe cuántas veces habría saltado esa regla de umbral fijo durante la semana.

La cacería tiene un hallazgo, un cambio aprobado que explica el volumen más alto, un servidor que no registra los accesos y una regla propuesta cuyo umbral fijo habría dado siete alertas a la semana, la mayoría con dueño. Hay que escribir el cierre.

Responde para continuar

¿Cómo se cierra la cacería?

Se cierra como falso positivo, porque el volumen más alto de la semana fue la migración aprobada y el resto queda dentro del ruido normal de la planta y de sus cierres Se escala el hallazgo y la regla sale con un umbral fijo de 500 archivos por hora, que es sencillo de explicar y habría visto la lectura de esa noche Se escala el hallazgo con su evidencia, se anota que un servidor sin registro de accesos queda sin ver y la regla se mide contra la base de cada cuenta

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué se puede cazar hoy Lab

2 El día que se sale de su historia Lab

3 Desde dónde Lab

4 La regla fácil Lab

5 Cómo se cierra Lab

Whoami-Labs Pro utiliza cookies