Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la consulta que separa el ruido

5 tareas · 55 min · Principiante

Escenario del módulo. El 15 de octubre a las 07:30, la guardia de redes de Delta Cargo deja una nota en la cola del SOC: el tráfico de salida del proxy por la noche «está un poco más alto esta semana» y nadie sabe por qué. No hay alerta ni dominio sospechoso que buscar. Tienes el registro del proxy de la noche del 14 al 15 y el inventario de equipos. No hay paso a paso: separa el ruido de lo que no encaja, di qué equipo es y de quién, y decide qué haces.

0 de 5 · 0%

Objetivo de la sala

Casi todo lo que sale por el proxy de noche es tráfico que hace el parque entero, y una parte es tráfico raro pero inofensivo. Busca el dominio externo que no se explica por ninguno de los dos: pocos equipos, y un ritmo que ninguna persona tendría.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el dominio externo que no se explica ni por el tráfico de todo el parque ni por la navegación de una persona.

Ver pista de ayuda

Empieza por `proxy | summarize equipos = dcount(equipo), peticiones = count() by dominio` y, para los dominios raros, mira su reparto por horas con bin.

Un dominio no se aísla ni se investiga: se investiga el equipo que lo llama. Filtra el registro por ese dominio y averigua qué máquina de Delta Cargo hace esas peticiones y si había alguien con la sesión iniciada.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del equipo de Delta Cargo que hace las peticiones a ese dominio.

Ver pista de ayuda

Filtra `proxy` por ese dominio con where y el operador ==, igual que filtraste los inicios de sesión; si sobran columnas, añade un project con hora, equipo, usuario y bytes_salida.

El nombre de una máquina no le dice nada a quien recibe el escalado. Une lo que encontraste con el inventario de equipos para saber de qué área es y quién es su responsable.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta de la persona responsable de ese equipo según el inventario.

Ver pista de ayuda

Resume con count() las peticiones a ese dominio por equipo y une el resultado con la tabla equipos (join kind=inner, on equipo); o consulta el inventario directamente por el nombre del equipo.

Esta noche lo encontraste porque alguien dejó una nota. Quieres guardar una consulta que lo vea sola la próxima vez, sin enterrar al turno en la telemetría del antivirus ni en la navegación personal de quien trabaja de noche.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué condición tiene que llevar esa consulta guardada para separar este caso del ruido de la noche?

Los dominios con más peticiones de la noche, porque un programa que llama solo nunca deja de llamar Un dominio que visitan menos de tres equipos y al que se llama en casi todas las horas de la noche Cualquier dominio que visite un solo equipo, sin mirar a qué horas ni con qué ritmo se le llama

Ver pista de ayuda

El volumen señala a la telemetría y la rareza sola señala también al álbum de fotos.

Tienes un equipo de tesorería, sin nadie con la sesión iniciada, que se reporta cada quince minutos en punto, con casi el mismo tamaño de envío, a un dominio que no visita ninguna otra máquina de la empresa. Decide.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con el caso?

Lo cierras como benigno: el equipo también envía la telemetría del antivirus, así que está protegido Lo escalas como posible baliza a respuesta, con el dominio, el equipo, su responsable y la consulta que lo detecta Lo dejas en observación una semana más, para ver si el volumen de salida sigue subiendo antes de avisar

Ver pista de ayuda

Una llamada de reloj desde un puesto con acceso a la banca no espera a que alguien vuelva a mirar.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — proxy de salida, noche del 14 al 15 de octubre

KQL · consultas previstas

Tablas

proxy

hora
equipo
usuario
dominio
metodo
bytes_salida

equipos

equipo
area
responsable
sistema

Ctrl + Enter

Consola de consultas v1.0 · build e42b80

1 Lo que no encaja Lab

2 Desde dónde Lab

3 De quién es Lab

4 La consulta que lo habría visto Lab

5 El veredicto Lab

Whoami-Labs Pro utiliza cookies