La regla que no ve lo que debería

5 tareas · 60 min · Principiante

El equipo de detección de Aguas del Chivor mantiene sus reglas como código: una expresión regular para el portal de usuarios, reglas de IDS en el sensor del portal de pagos y una regla de fuerza bruta contra el inicio de sesión de administración. Ninguna de las tres ha dado una sola alerta en dos semanas y nadie sabe si es porque no pasa nada o porque no ven. Te piden que las pruebes contra datos de muestra: líneas del registro del portal con la decisión que se espera de cada una, una muestra de flujos del sensor y los intentos de inicio de sesión de esta mañana. No hay nada que ejecutar: se lee la regla, se leen los datos y se razona qué haría.

0 de 5 · 0%

Objetivo de la sala

Una expresión regular que busca una cadena exacta solo reconoce esa forma de escribirla. Quien ataca no tiene por qué usarla: la misma ruta se puede escribir con barras distintas, codificada en porcentaje, en mayúsculas o con una mezcla de todo eso.

Probar una regla es aplicarla línea por línea a una muestra donde ya sabes cuáles deben alertar. Los que alertan y la regla no ve son los más caros, porque nadie se entera de ellos.

Responde para continuar

Escribe el identificador de la única línea de muestra que debe producir alerta y que la expresión de recorrido de rutas no reconoce.

Formato esperado: W-__

El resultado de probar una regla es un número que se compara con lo esperado: cuántas líneas reconoce, cuántas debía reconocer y cuáles son la diferencia. Sin ese número, «la regla funciona» es una opinión.

Aplica el patrón a las doce líneas tal como figuran, con la bandera que lleva la regla. Una línea con dos puntos seguidos que no van acompañados de una barra no es un recorrido.

Responde para continuar

¿Cuántas de las doce líneas de muestra reconoce la expresión tal como está escrita en el repositorio?

Una regla de IDS activa no es una regla que dispara. El encabezado dice a qué puerto mira, y si el servicio al que debía proteger se movió a otro puerto cuando se actualizó, la regla seguirá marcada como activa y nunca verá un solo paquete.

Para descubrirlo se cruza el puerto de cada regla con los puertos que realmente atienden servicios en la red, que es lo que enseña una muestra de flujos.

Responde para continuar

Escribe el identificador (sid) de la regla de IDS que, con el tráfico tal como lo describe la muestra de flujos, no puede disparar nunca.

El umbral de una regla de conteo decide a cuántas personas va a despertar. Uno demasiado alto no dispara jamás; uno demasiado bajo llena la cola. Antes de proponer un cambio se prueba contra los datos que ya existen y se cuenta cuántas alertas habría producido.

La ventana es parte de la regla: aquí son bloques de cinco minutos alineados al reloj, no una ventana que se desliza. Una ráfaga que cruza el límite entre dos bloques queda partida en dos, y eso cambia el resultado.

Responde para continuar

Con el umbral propuesto por el equipo, ¿cuántas direcciones de origen distintas habrían alertado esta mañana?

Una regla ajustada para ver más también ve lo que no debería ser una alerta. Antes de activar el cambio se mira quién más lo dispararía y si esa actividad está aprobada: una excepción documentada es mejor que bajar el umbral de nuevo o dejar que el turno cierre la alerta una y otra vez a mano.

Una actividad aprobada lo está solo en su ventana: una dirección autorizada fuera de su día y su hora no es una excepción.

Responde para continuar

Con el umbral propuesto, una de las direcciones que alertan corresponde a actividad aprobada en esa franja. Escribe esa dirección.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La línea que se escapa Lab

2 Cuántas reconoce Lab

3 La regla que no puede disparar Lab

4 Cuántas IPs saltarían con el umbral nuevo Lab

5 Lo que la regla corregida seguiría marcando Lab

Whoami-Labs Pro utiliza cookies