Contener sin romper el servicio

5 tareas · 65 min · Principiante

A las 03:14 del martes 20 de octubre el sensor de un servidor de archivos de Aguas del Chivor, `chv-fs02`, avisó de un comportamiento de cifrado de archivos, y el SOC de guardia te llama para decidir. El servidor guarda la cartera, los contratos y los archivos de lecturas de los medidores. Tienes lo que registró el servidor, las conexiones que salieron de él, sus copias de respaldo, las conexiones que le son normales, las acciones de contención que infraestructura puede ejecutar y los criterios del plan de respuesta, los servicios que viven sobre el equipo y los plazos de la política interna. Nadie te dice por dónde empezar. Es una lectura de evidencia ficticia: no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

Un cifrador de archivos no se queda en su equipo: busca recursos compartidos en la red y sigue por ellos. Lo que decide si una conexión es parte del problema no es que exista, sino que sea nueva. Las que el servidor mantiene siempre —el directorio, el respaldo nocturno, la hora— son su vida normal.

Se compara cada conexión posterior a la primera señal contra los flujos habituales por destino y por puerto. El que queda es hacia donde se extiende el daño.

Responde para continuar

Una vez empezado el cifrado, el servidor abrió conexiones SMB hacia un equipo interno con el que no tiene relación habitual. Escribe el nombre de ese equipo.

Contener es elegir entre acciones que cortan, y todas cuestan algo. El plan de respuesta fija los criterios antes de que haya un incidente justamente para que quien decide a las 03:30 no improvise: rapidez, que se pueda deshacer, que no tumbe otros servicios y que conserve la memoria del equipo para el análisis.

Una opción que cumple tres criterios y falla uno no es una opción: se descarta. Revisa cada acción contra los cuatro.

Responde para continuar

Escribe el identificador de la única acción de contención que cumple los cuatro criterios del plan de respuesta.

Formato esperado: C-_

Una copia sirve si se sabe que se puede restaurar y si se tomó antes del daño. Una verificada pero posterior al cifrado trae los archivos ya cifrados; una anterior pero sin verificar es una apuesta. La política de continuidad junta las dos condiciones.

Fíjate en la hora en que terminó cada copia, no en la que empezó, y compárala con la primera señal de cifrado.

Responde para continuar

Según la política de restauración, ¿desde qué copia de chv-fs02 se restaura?

Formato esperado: BK-____

Los plazos de notificación no corren desde que ocurrió el incidente, sino desde el hecho que fija cada obligación: unos desde la primera señal y otros desde que se confirma que hay datos personales afectados. Quien confunde el punto de partida avisa tarde sin darse cuenta.

Aquí los plazos son los de la política interna de Chivor, que es lo que se aplica al caso. Suma las horas al hito correcto, y recuerda que se cuentan seguidas, no solo las hábiles.

Responde para continuar

¿A qué fecha y hora vence el aviso a la autoridad de protección de datos? Respóndelo como mes-día hora:minutos, por ejemplo 01-31 18:00.

Aislar un servidor tiene un costo para el negocio que se debe decir antes de ejecutar, no después. No todo servicio se cae: los que tienen una alternativa activa siguen atendiendo desde otro lado, y los demás se detienen hasta que el equipo vuelva.

Cuenta solo los servicios que corren sobre el servidor afectado y no tienen alternativa que los atienda.

Responde para continuar

¿Cuántos servicios de negocio dejan de atenderse mientras chv-fs02 permanece aislado?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El siguiente que se contiene Lab

2 La acción que cumple todo Lab

3 De dónde se restaura Lab

4 El plazo que corre Lab

5 Lo que se cae con él Lab

Whoami-Labs Pro utiliza cookies