Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la cuenta de la directora financiera

5 tareas · 60 min · Principiante

Escenario del módulo. Martes 24 de noviembre, 23:40, turno de noche. Otra semana, otras cuentas y otra historia — nada de lo del jueves 19 resuelve esto. La cola de identidad tiene tres alertas de la última hora y media, dos de ellas de la cuenta de la directora financiera. Tienes en el SIEM de la nube las notificaciones de segundo factor, los inicios de sesión, las salidas a internet de la empresa, la auditoría del directorio y lo que han hecho las aplicaciones con sus tokens. No hay paso a paso — reconstruye qué pasó, en qué orden y con qué alcance, descarta lo que no es, y decide qué se corta primero.

0 de 5 · 0%

Objetivo de la sala

Empieza por la cuenta que tiene dos alertas. Esa tarde salió de la oficina con su sesión normal; horas después, alguien consiguió otra. Encuentra desde dónde.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección IP del inicio de sesión que la directora terminó aprobando por la noche.

Ver pista de ayuda

Las notificaciones de esa cuenta tienen dos orígenes distintos; uno es la oficina. El otro se repite en el inicio de sesión de las 22:58.

Una sesión conseguida cansando a alguien dura lo que tarde la persona en cambiar la contraseña. Quien entró lo sabía, y cuatro minutos después dejó algo que no depende ni de la sesión ni de la contraseña. Búscalo en la auditoría, con la dirección al lado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre de la aplicación a la que esa sesión concedió permisos sobre el correo de la directora.

Ver pista de ayuda

Filtra la auditoría por la cuenta de la directora y compara la dirección de cada evento con la del inicio de la tarea anterior.

El alcance no es «la cuenta está comprometida»: es lo que ya salió de ella. La aplicación tiene permiso para leer y para enviar como la persona, y el registro de uso de aplicaciones dice qué hizo con cada uno. Lee también el detalle: a quién y para qué. Eso es lo que tesorería necesita saber antes de las nueve de la mañana.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántos correos envió la aplicación en nombre de la directora.

Ver pista de ayuda

El registro de uso de aplicaciones, filtrado por esa aplicación; la operación de envío tiene su número de elementos y su detalle.

En la cola queda una tercera alerta de la misma noche, de otra cuenta. Dos alertas de identidad en una hora piden mirarlas juntas, no sumarlas sin más. Decide qué es esta antes de escribir el escalado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con la alerta de viaje imposible de cpardo?

Escalarla aparte como un segundo compromiso, porque quince minutos no alcanzan para ir de Bogotá a Estados Unidos Sumarla al incidente de la directora, porque dos alertas de identidad en la misma noche son el mismo ataque Documentarla como falso positivo con su prueba —salida de la VPN, el mismo portátil y la misma sesión— y dejarla fuera del incidente

Ver pista de ayuda

La dirección de llegada de esa alerta, ¿está entre las salidas de la empresa? ¿Cambian el equipo o la sesión entre las dos entradas?

Son casi las doce de la noche y la persona dueña de la cuenta duerme. Lo que le da acceso al otro ahora mismo son varias cosas a la vez, y cada acción de respuesta corta solo una. Y hay una que no es de identidad pero no puede esperar: hay proveedores con una instrucción de pago en la bandeja, firmada por la directora financiera.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué contención pides, y en qué orden?

Esperar a la mañana para hablar con la directora antes de tocar su cuenta, porque es de gerencia y cualquier corte le afecta en pleno cierre de mes Deshabilitar la aplicación y revocar su consentimiento, revocar sesiones, restablecer la contraseña, borrar la regla y avisar a tesorería Restablecer la contraseña de la directora y bloquear en el cortafuegos la dirección de la sesión; con eso la sesión de fuera y la aplicación dejan de servir

Ver pista de ayuda

La aplicación opera desde otra dirección y con un token que no depende de la contraseña. Y mira qué hace la regla de bandeja con las respuestas de los proveedores.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — identidad en la nube, martes 24 de noviembre, 23:40

KQL · consultas previstas

Tablas

alertas

alerta
hora
regla
cuenta
detalle

cuentas

cuenta
cargo
area
numero_en_pantalla

notificaciones

hora
cuenta
ip_del_inicio
ubicacion
resultado

inicios

hora
cuenta
aplicacion
ip_origen
ubicacion
metodo
dispositivo
id_sesion

salidas_conocidas

ip
nombre
que_es

auditoria

hora
actor
actividad
objetivo
detalle
ip_origen

uso_aplicaciones

hora
aplicacion
sobre_buzon
operacion
elementos
ip_origen
detalle

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Por dónde entró Lab

2 Cómo pensaba quedarse Lab

3 Qué ha hecho ya Lab

4 La otra alerta Lab

5 Qué se corta primero Lab

Whoami-Labs Pro utiliza cookies