Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la noche de la oficina del puerto

5 tareas · 60 min · Principiante

Escenario del módulo. Jueves 28 de enero, 02:30, turno de noche. Otra sede —la oficina del puerto de Delta Cargo—, otros equipos y otra historia: nada de lo que encontraste en el centro de distribución resuelve esto. En la cola hay seis alertas de cinco reglas, ninguna alta, y entre ellas está el escáner autorizado de esta noche y el ruido de internet de siempre. Tienes el registro DNS, el de conexiones, el tráfico interno, las salidas que siguen abiertas, el inventario y la lista de lo que se puede hacer. No hay paso a paso: separa lo que es parte del caso de lo que no, encuentra lo que ninguna regla vio, di qué pasó y en qué orden, y decide qué se corta primero.

0 de 5 · 0%

Objetivo de la sala

Todo empezó antes de medianoche, con una alerta de severidad baja que nadie miró. Esa alerta tiene un final: un nombre que, entre cientos, sí existía.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre que encontró registrado el puesto de la ráfaga de NXDOMAIN.

Ver pista de ayuda

La alerta de las 22:50 te da el origen. El registro DNS de ese origen, filtrado por su dirección, tiene una sola fila que no es NXDOMAIN.

Desde ese momento hay algo que no ha parado en toda la noche y que no tiene ninguna alerta, porque ninguna regla de la casa lo describe todavía. Para verlo hay que medir.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántos bytes envía el puesto en cada llamada de la conexión periódica que ninguna regla vio.

Ver pista de ayuda

La consulta de la medición de la sala de la baliza funciona aquí tal cual. Descarta lo que tenga excepción aprobada.

Dos de las alertas son barridos internos con la misma forma, en la misma ventana y sobre el mismo segmento. Solo uno es del escáner de la casa, y el otro termina en una conexión que el registro no había visto en tres meses.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del equipo al que entró por escritorio remoto el puesto que hizo el barrido no autorizado.

Ver pista de ayuda

El tráfico interno comparado con los 90 días anteriores te da la dirección de destino; el inventario, su nombre. Cópialo tal cual.

Antes de pedir nada, hay que poder contar la noche de principio a fin en una frase, porque el orden es lo que dice qué hay que cortar y qué ya llegó tarde.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es la secuencia de la noche en la oficina del puerto?

Un barrido desde internet encontró abierto el escritorio remoto del servidor, y desde ahí alguien instaló la baliza en el puesto y empezó a sacar los datos de la oficina Son dos cosas sin relación: el escáner de la casa barrió el segmento como cada noche, y un puesto con el DNS mal configurado generó una ráfaga de errores El puesto generó nombres hasta dar con uno registrado, llamó a su dirección con una baliza, barrió el escritorio remoto, saltó al servidor y este saca datos

Ver pista de ayuda

Ordena por hora lo que hizo cada origen. ¿Qué denegó el cortafuegos de lo que llegó de internet, y a qué dirección va la salida del servidor?

Son las 02:35, el ingeniero de guardia está disponible y el responsable del servidor duerme. Cada acción de la lista corta una cosa y deja otras vivas, y hay una que deja de servir en cuanto la transferencia termine.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué le pides al ingeniero de guardia, y en qué orden?

Esperar a la mañana para hablar con la persona del puesto, porque aislar un servidor de producción de noche tiene un coste Cortar en el cortafuegos la salida hacia la dirección de la baliza, aislar el puesto y el servidor avisando a operaciones de que los manifiestos se quedan sin servicio, y escalar con todo lo encontrado Bloquear en el DNS el nombre que encontró la ráfaga y cerrar como autorizados los dos barridos internos de la noche

Ver pista de ayuda

Lee `SELECT * FROM acciones` columna por columna. ¿Qué acción para la salida que sigue abierta, y cuál no sirve contra una dirección que ya está resuelta?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — oficina del puerto, turno de noche del jueves 28 de enero, 02:30

OpenSearch · consultas guardadas

Tablas

alertas

hora
alerta
origen
destino
severidad_del_motor

dns

ts
id_orig_h
query
rcode_name
answers
ttls

edad_dominios

dominio
fecha_de_alta
antiguedad

resumen_por_origen

origen
destinos_distintos
puertos_distintos
conexiones
sin_respuesta
desde
hasta

conn

ts
id_orig_h
id_resp_h
id_resp_p
conn_state

escaneres_autorizados

equipo
ip
ventana
alcance_esta_noche

intervalos

ts
id_orig_h
id_resp_h
id_resp_p
intervalo_s
orig_bytes
resp_bytes

excepciones

destino
que_es
aprobada_por

este_oeste

hora
origen
destino
puerto
servicio
bytes_ida
bytes_vuelta
visto_antes_90_dias

salientes_abiertas

inicio
origen
destino
puerto
bytes_ida_hasta_ahora
estado

inventario

ip
equipo
area
responsable

acciones

accion
que_corta
que_no_corta

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La primera pregunta de la noche Lab

2 Lo que no está en la cola Lab

3 El salto Lab

4 Qué pasó, en orden Lab

5 Qué se corta primero Lab

Whoami-Labs Pro utiliza cookies