Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la misma caza en dos lenguajes

5 tareas · 55 min · Principiante

Escenario del módulo. El jueves 29 de octubre a las 07:00, el equipo de detección de Delta Cargo deja en la cola del SOC una caza que lanzó anoche en el SIEM de la casa matriz: busca equipos que usan el DNS como canal. Allí no encontró nada. La filial de aduanas no estaba en esa búsqueda, porque su DNS vive en el otro SIEM, el que pregunta en SPL. Tienes el registro DNS de Delta Aduanas de la noche del 28 al 29 y su inventario de equipos. No hay paso a paso: traduce la caza, separa lo que no encaja, di qué equipo es y de quién, y decide qué haces con la regla y con el caso.

0 de 5 · 0%

Objetivo de la sala

Esta es la consulta que mandó el equipo de detección, en KQL:

dns
| summarize subdominios = dcount(consulta), equipos = dcount(equipo) by dominio
| where subdominios > 100 and equipos < 3

La idea es sencilla: un programa que mete datos dentro de los nombres que pregunta al DNS pide muchísimos nombres distintos bajo un mismo dominio, y casi ningún otro equipo de la empresa pregunta por ese dominio. Tradúcela a SPL y lánzala sobre la noche de la filial. Antes de fiarte del resultado, mira qué otros dominios piden muchos nombres distintos y por qué no son lo mismo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el dominio externo que devuelve la caza traducida.

Ver pista de ayuda

El summarize con dos dcount se convierte en un stats con dos dc, cada uno con su as; el where se queda igual. Empieza por `index=dns | stats dc(consulta) as subdominios dc(equipo) as equipos by dominio`.

Un dominio no se aísla ni se investiga: se investiga el equipo que lo consulta. Filtra el registro DNS por ese dominio y averigua qué máquina de la filial hace esas preguntas, de qué tipo son y a qué ritmo llegan durante la noche.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del equipo de Delta Aduanas que pregunta por ese dominio.

Ver pista de ayuda

Busca `index=dns` con el campo dominio igual al de la tarea anterior y cuenta con stats por equipo.

El nombre de una máquina no le dice nada a quien recibe el escalado. Enriquece lo que encontraste con el lookup del inventario para saber de qué área es y quién es su responsable.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta de la persona responsable de ese equipo según el inventario.

Ver pista de ayuda

Añade a la búsqueda por dominio un `lookup inventario equipo OUTPUT area responsable` y cuenta con stats por equipo, área y responsable; o lee el inventario con inputlookup y busca el equipo.

La caza funcionó porque alguien la tradujo a mano. El equipo de detección quiere que, a partir de ahora, esta detección viva en un solo sitio y se traduzca a los dos SIEM. Tienes que decidir cómo se escribe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo se escribe esta detección para que sirva en los dos SIEM?

Como regla Sigma de correlación que cuente valores distintos del nombre consultado por dominio, probada en los dos SIEM contra esta noche Como una búsqueda guardada en cada SIEM, escrita a mano en su lenguaje, porque un formato neutral no puede expresar un conteo por dominio Como una regla Sigma básica que salte con cada consulta de tipo TXT, porque todas las preguntas de esta noche al dominio raro fueron de ese tipo

Ver pista de ayuda

La caza cuenta nombres distintos por dominio; una selección de un solo evento no sabe contar.

Tienes un puesto de trámites aduaneros que toda la noche, a unas cuarenta preguntas por hora y sin una pausa, pide al DNS nombres largos que no se repiten, de tipo TXT, bajo un dominio que no consulta ningún otro equipo de la empresa. Decide.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con el caso?

Lo escalas como posible canal por DNS a respuesta, con el dominio, el equipo, su responsable y la búsqueda que lo detecta Lo cierras como benigno: el antivirus también pide nombres largos y distintos, así que es el mismo tipo de tráfico Lo dejas en observación hasta la noche siguiente, para confirmar que el ritmo se repite antes de molestar a nadie

Ver pista de ayuda

Compara cuántos equipos piden los nombres largos del antivirus y cuántos los de este dominio.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM de Delta Aduanas · DNS, noche del 28 al 29 de octubre

SPL · consultas previstas

Índices y lookups

index=dns

_time
equipo
ip_equipo
consulta
dominio
tipo

lookup inventario

equipo
area
responsable
sistema

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La caza, traducida Lab

2 Desde dónde Lab

3 De quién es Lab

4 La regla que lo habría visto en los dos SIEM Lab

5 El veredicto Lab

Whoami-Labs Pro utiliza cookies