Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario — la semana de diez alertas, en el mapa

5 tareas · 60 min · Principiante

Escenario del módulo. Lunes 15 de febrero, 08:00. Otra sede —la terminal de carga aérea de Delta Cargo en el aeropuerto— y otra semana: nada de lo que viste en la oficina central resuelve esto. Te toca la revisión semanal de cobertura. Tienes las diez alertas de la semana del 8 al 14, cada una con la etiqueta de su regla, la evidencia de cada una, el informe trimestral del CSIRT sobre los dos grupos que más atacan a empresas de logística en la región, la cobertura de la casa y sus fuentes. No hay paso a paso: mapea las diez con la evidencia, di qué falla en las etiquetas, cruza lo que usan los grupos con lo que hoy se detecta y decide qué hueco se cierra primero.

0 de 5 · 0%

Objetivo de la sala

Diez alertas, diez etiquetas. Una de ellas no sostiene ninguna técnica, por mucho que su regla la traiga etiquetada.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador de la alerta de la semana que no se mapea a ninguna técnica.

Ver pista de ayuda

Lee la evidencia de cada alerta y crúzala con lo que había autorizado esa semana.

Otra alerta describe una conducta real, pero no la que dice su etiqueta. La regla acertó al disparar y se equivocó al nombrar.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador de la técnica con la que hay que corregir la etiqueta de esa alerta.

Ver pista de ayuda

Para cada alerta, compara lo que dice su evidencia con la descripción de su etiqueta en `tecnicas`, y lee qué busca su regla en `reglas`.

El informe del CSIRT describe dos grupos con oficios distintos. Hay técnicas que solo usa uno y técnicas que usan los dos, y no todas tienen regla en Delta.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador de la técnica que usan los dos grupos del informe y que hoy ninguna regla de Delta detecta.

Ver pista de ayuda

Agrupa `inteligencia_sector` por técnica y cuenta los grupos; después mira esas técnicas en `cobertura`.

Ingeniería de detección tiene esta semana tiempo para un solo caso de uso nuevo, y hay tres propuestas sobre la mesa. Cada una tiene un argumento que suena bien; solo una aguanta el cruce con la cobertura, las fuentes y el informe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál de las tres se escribe esta semana?

Una regla para la técnica sin regla que comparten los dos grupos, porque su fuente ya llega al SIEM y ocurre antes de que llegue el daño Una regla para el cifrado de datos de Garfio, porque aparece en todas sus intrusiones estudiadas y es el daño más caro que puede sufrir la terminal Una regla para la exfiltración a almacenamiento en la nube de Bodega Muda, porque es lo que ese grupo hace en todas sus intrusiones, y después se ve de dónde lee

Ver pista de ayuda

Para cada propuesta, mira en `cobertura` si ya hay regla y si su fuente llega según `fuentes`, y en `inteligencia_sector` cuántos grupos la usan.

A media mañana, el jefe del SOC lee la revisión por encima y hace la pregunta que siempre llega después de una semana movida.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Te pregunta si, después de esta semana, «tenemos cubierto a Garfio». ¿Qué le contestas?

Que no se puede saber hasta conocer qué programas concretos usa Garfio, porque las reglas del SIEM se escriben contra herramientas Que sí, porque la mayoría de sus técnicas tienen regla activa y el martes sus primeros pasos sonaron casi todos Que no en esos términos, porque hay pasos suyos sin regla o con la regla apagada, y ni la matriz entera asegura ver cada variante

Ver pista de ayuda

Filtra `cobertura` por las técnicas de Garfio en `inteligencia_sector`. ¿Cuántas tienen una regla activa que lee una fuente que llega?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — terminal de carga aérea, revisión de cobertura del lunes 15 de febrero

OpenSearch · consultas guardadas

Tablas

alertas

alerta
dia
hora
regla
etiqueta
equipo_o_cuenta
resumen

evidencia

alerta
que_dice_el_registro

reglas

regla
titulo
que_busca
etiqueta

tecnicas

id
nombre_oficial
tacticas
se_reconoce_por

cambios_aprobados

ticket
que
cuando

inteligencia_sector

grupo
tecnica
nombre_oficial
intrusiones
estudiadas

cobertura

tecnica
regla
estado
fuente
ultima_prueba

fuentes

fuente
se_ingiere
que_registra

inventario

ip
equipo
area
responsable

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La alerta que no es ninguna técnica Lab

2 La etiqueta que la evidencia no sostiene Lab

3 El hueco que comparten Lab

4 Qué se cierra primero Lab

5 Lo que se le dice al jefe del SOC Lab

Whoami-Labs Pro utiliza cookies