Escenario — la noche de la venta de entradas

5 tareas · 60 min · Principiante

Escenario del módulo. Jueves 15 de octubre, 22:25. Boletería Quillay lanzó a las 22:00 la venta de entradas de la gira del año y el SOC tiene tres alertas web abiertas desde esta noche. Es otra empresa y otros números: nada de lo que viste en la librería sirve para contestar de memoria. Tienes las tres alertas, el registro del proxy inverso, lo que registró el WAF, el inventario de archivos del servidor qly-web01 frente a su despliegue, los procesos que lanzó y el volumen por ventanas. No hay paso a paso: decide qué es ruido, qué es la venta y qué es un incidente.

0 de 5 · 0%

Objetivo de la sala

La primera alerta de la noche habla de un barrido de rutas. Antes de decidir su prioridad, identifica de dónde vino y comprueba qué obtuvo.

Responde para continuar

Escribe la dirección del origen del barrido de rutas de las 21:38.

La alerta de denegación de servicio saltó cuando el volumen por minuto llegó a catorce veces lo normal. Es un pico enorme, y el servidor aguantó sin errores significativos. Hay que decirle al responsable del servicio qué es.

Responde para continuar

¿Qué es el pico que disparó la alerta de denegación de servicio?

Una inundación de peticiones desde miles de equipos, que hay que cortar de inmediato con un bloqueo por rangos Un ataque de conexiones lentas desde un único origen que ha agotado los huecos del servidor web Una oleada legítima de la venta anunciada, con muchos agentes distintos, sesiones y pedidos completados

Ninguna alerta habla del servidor, pero el servidor tiene su propio inventario. Compáralo con lo que el despliegue de esta tarde dejó y busca lo que no debería estar donde está.

Responde para continuar

Escribe el nombre del archivo de script que apareció en la carpeta de subidas de avatares.

El archivo no está ahí de adorno. En el tráfico de la venta, mezclado con miles de peticiones de clientes, hay un origen que no compra nada.

Responde para continuar

Escribe la dirección real del origen que llama a ese archivo de script.

Tienes el cuadro entero: un barrido que no obtuvo nada, una inyección que el WAF cortó tres veces, un pico que es la venta y un archivo que ninguna alerta señaló, con un servidor web que lanza órdenes de sistema. Decide qué haces con cada cosa y cuál es el incidente.

Responde para continuar

¿Cómo cierras la noche?

Escalas la inyección bloqueada como incidente principal, porque es el único ataque con una regla que disparó Cierras barrido e inyección bloqueada con nota, das el pico por venta legítima y abres un incidente por el archivo subido Declaras un ataque de denegación de servicio por el pico de las 22:03 y activas los bloqueos por rangos antes de la venta de mañana

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El barrido que no encontró nada Lab

2 El pico de las 22:03 Lab

3 Lo que el despliegue no puso Lab

4 Quién lo llama Lab

5 El veredicto Lab

Whoami-Labs Pro utiliza cookies