Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la huella antes del cifrado

5 tareas · 60 min · Principiante

Escenario del módulo. Martes 15 de diciembre, 04:10, turno de noche. Otra semana, otras máquinas y otra historia — nada del caso de noviembre resuelve esto. En la cola hay cuatro alertas de las últimas dos horas, de cuatro reglas distintas y con severidades que no se parecen, y el motor no sabe que hablan de lo mismo. Tienes la línea de tiempo de los dos equipos, el estado de las defensas y de las copias, los indicadores de la campaña y la lista de lo que se puede hacer esta noche. No hay paso a paso: reconstruye en qué fase está la intrusión, qué le falta todavía y qué se corta primero.

0 de 5 · 0%

Objetivo de la sala

De las cuatro alertas, una no describe algo que ocurrió: describe algo que sigue ocurriendo mientras lees. Encuéntrala y mira a dónde va.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el destino de la transferencia que sigue abierta en este momento.

Ver pista de ayuda

Una de las cuatro alertas habla de una transferencia saliente. La tabla que la detalla dice cuánto lleva enviado y si la sesión está abierta.

Noventa minutos antes de que empezara esa transferencia, alguien dejó al servidor sin quien mirara. Dos cambios seguidos sobre la defensa del equipo, los dos con la misma cuenta y ninguno con ticket. Esa cuenta no es la que aparece en las alertas de la transferencia.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta con la que se añadió al antivirus la exclusión de carpeta del servidor.

Ver pista de ayuda

El estado de las defensas por equipo dice quién hizo el último cambio; la línea de tiempo lo confirma con la hora al lado. Cópiala tal cual.

Una de las alertas saltó por una regla de contenido en el puesto, y los indicadores de la campaña aparecen también en el servidor. Que el mismo artefacto esté en dos máquinas es lo que convierte esto en algo más grande que un puesto con un archivo raro.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del archivo del puesto que hizo coincidir la regla de contenido de la campaña.

Ver pista de ayuda

La tabla de indicadores vistos trae, por equipo, qué coincidió y con qué valor. Cópialo tal cual, con su extensión.

Ya tienes las piezas: dos días de huella, las defensas de un servidor bajadas, una cuenta de servicio moviéndose y una copia saliendo. Antes de pedir nada, di en voz alta dónde está esto, porque de ahí sale todo lo demás.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿En qué punto de la secuencia está la intrusión a las 04:10?

Está empezando: solo hay un archivo sospechoso en un puesto, y lo demás son coincidencias de trabajo nocturno que conviene no mezclar en un mismo ticket Está en la salida de datos, con las defensas de un servidor ya bajadas y las copias de sombra de los tres equipos todavía intactas: aún no ha llegado el paso irreversible Ya terminó: lo que se ve son los restos de un ataque que cifró anoche, y el trabajo de esta noche es inventariar el daño y abrir la recuperación

Ver pista de ayuda

Mira qué hay y qué NO hay: ¿alguna tabla registra un borrado de copias de sombra o un cifrado? ¿Qué dice la columna de copias de cada equipo?

Son las cuatro y cuarto de la mañana, el ingeniero de guardia está disponible y la persona dueña del servidor duerme. Cada acción de la lista corta una cosa y deja otras vivas, y dos de ellas tienen hora: una deja de servir cuando la transferencia termine, y otra solo sirve si se hace antes de que empiece lo irreversible.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué pides al ingeniero de guardia, y en qué orden?

Cortar la salida y aislar el servidor, proteger las copias y el respaldo, y deshabilitar la cuenta de servicio: se para lo que está en marcha y se blinda la vuelta atrás antes de limpiar Restablecer la contraseña de la cuenta de administración y esperar a ver si la transferencia se detiene sola: si para, el acceso dependía de esa contraseña y no hace falta tocar el servidor de contabilidad Devolver el agente a prevención y quitar la exclusión, que es lo que falló, y volver a evaluar por la mañana con el equipo de sistemas ya incorporado y el servidor otra vez vigilado

Ver pista de ayuda

Dos relojes corren a la vez: el de la copia que sale y el de lo que todavía no ha pasado. Ninguna acción que llegue después de los dos sirve de nada.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — turno de noche del martes 15 de diciembre, 04:10

OpenSearch · consultas guardadas

Tablas

alertas

hora
alerta
equipo
cuenta
severidad_del_motor

linea_de_tiempo

dia_y_hora
equipo
cuenta
que_quedo_escrito

salida_en_curso

hora_de_inicio
equipo
destino
enviado_hasta_ahora
estado

estado_defensas

equipo
agente_de_seguridad
ultima_exclusion
quien
copias_de_sombra

indicadores_vistos

equipo
indicador
tipo
archivo_o_valor

acciones

accion
que_corta
que_no_corta

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Lo que está pasando ahora mismo Lab

2 Quién preparó el terreno Lab

3 Lo mismo en dos sitios Lab

4 En qué punto estamos Lab

5 Qué se corta primero Lab

Whoami-Labs Pro utiliza cookies