Loading
_ DESCIFRANDO CONEXIÓN SEGURA...

Hasta dónde llegó y a quién se avisa

6 tareas · 50 min · Principiante

18:19. Ya sabes que una contraseña de facturación salió de la empresa a las 15:26 y que a las 16:03 alguien la usó desde fuera. Lo que no sabes todavía es qué hizo con ella, y eso no está en el SIEM que acabas de consultar: la pasarela de correo de Delta entrega sus registros al SIEM de búsqueda por tuberías estilo SPL del módulo anterior, y hay que cambiar de consola. Tienes el correo de la empresa, el proxy, los grupos de distribución y la matriz de escalado. No hay paso a paso: mide el alcance antes de llamar a nadie, porque lo que digas en esa llamada decide lo que hacen al otro lado.

0 de 6 · 0%

Objetivo de la sala

18:19. Ya sabes que una contraseña de facturación salió de la empresa a las 15:26 y que a las 16:03 alguien la usó desde fuera. Lo que no sabes todavía es qué hizo con ella, y eso no está en el SIEM que acabas de consultar: la pasarela de correo de Delta entrega sus registros al SIEM de búsqueda por tuberías estilo SPL del módulo anterior, y hay que cambiar de consola. Tienes el correo de la empresa, el proxy, los grupos de distribución y la matriz de escalado. No hay paso a paso: mide el alcance antes de llamar a nadie, porque lo que digas en esa llamada decide lo que hacen al otro lado.

Busca qué ha mandado esa cuenta esta tarde. Lo que vas a encontrar no levantó ni una alerta, y conviene entender por qué antes de seguir: la regla de envío masivo de Delta vigila el correo que cruza hacia internet, y esto no cruzó.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántos mensajes salieron de esa cuenta hacia buzones internos esta tarde.

Ver pista de ayuda

Busca en el índice del correo por esa cuenta como remitente y cuenta los mensajes agrupando por si el destino es interno o externo. El número de fuera es cero, y eso también explica el silencio.

Para escalar no vale «a mucha gente». Quien administra el correo necesita saber exactamente qué purgar, y eso se dice con un nombre, no con un número: la sesión escribió un solo destinatario y detrás había mil cuatrocientos buzones.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del grupo de distribución al que se mandaron esos mensajes.

Ver pista de ayuda

Agrupa los mensajes de esa cuenta por grupo, o abre la lista de grupos de la empresa y busca el que cuadra con la cifra que acabas de obtener.

Cada minuto que la sesión siga abierta es otra tanda de correos, y cada minuto que los mensajes sigan en los buzones es otra persona que hace clic. Tú no llevas el caso hasta el final, pero el nivel 1 recomienda la contención con criterio, y aquí el orden importa.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué pides que se haga ya?

Ver pista de ayuda

Una sesión ya abierta no se cierra sola al cambiar la contraseña, y una regla de bandeja que nadie retira sigue escondiendo las respuestas de quien pregunte. Y el mensaje ya entregado no deja de existir porque el dominio esté bloqueado.

Antes de la llamada, un dato más. El alcance de un correo no se mide por a cuántos llegó, sino por cuántos hicieron algo con él, y de eso depende si mañana hay que avisar a veintitrés personas o restablecer veintitrés contraseñas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

El proxy dice que en la hora siguiente al envío veintitrés cuentas distintas abrieron el enlace y que ninguna envió el formulario. ¿Qué cambia eso?

Ver pista de ayuda

El cero de formularios enviados vale tanto como el veintitrés de clics. Pero abrir la página tampoco es inofensivo: esas veintitrés personas vieron una página que les pedía la contraseña y alguna puede volver.

Son las 18:30 y toca escalar. La matriz de Delta no tiene una fila para «esto»: tiene filas para situaciones, y esta tarde encaja en varias a la vez. Elige con qué llamas, sabiendo que al otro lado hay alguien que no ha visto nada de lo que tú llevas cuatro horas mirando.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo escalas?

Ver pista de ayuda

La matriz trabaja por situaciones y una tarde puede caer en tres a la vez; cuando eso pasa se cumplen todas. Y la prioridad con la que llegó una alerta describe lo que se sabía entonces, no lo que sabes ahora.

La administración del correo de Delta no está en el edificio: el servicio lo opera un proveedor gestionado, y su mesa de soporte trabaja en inglés. La llamada avisa; la purga se pide por ticket, y ese ticket lo va a ejecutar alguien en otro país que no conoce a nadie de Delta ni ha visto nada de tu tarde. Lo que necesita es con qué encontrar los mensajes —remitente, hora, asunto—, por qué corre prisa y qué se le pide exactamente, y que le digan cuándo confirmar.

Lo que no le sirve es la cortesía que ocupa la primera línea ni una conclusión que nadie ha comprobado: en un ticket, una suposición se ejecuta como si fuera un hecho, y la acción que pide viene con ella.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Son las 18:30. ¿Con qué línea abres el ticket de purga para la mesa del proveedor?

Ver pista de ayuda

Quien lo ejecuta no estuvo en tu tarde. Quédate con la línea que le da con qué buscar los mensajes y qué hacer con ellos, sin cortesías ni conclusiones que el proxy desmiente.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Conectando con la base…

Pasarela de correo · Delta Cargo — alcance de la tarde del 8 de diciembre
SPL · consultas previstas

Índices y lookups

index=correo

  • _time
  • remitente
  • destino
  • grupo
  • asunto
  • enlace
  • estado

index=proxy

  • _time
  • cuenta
  • equipo
  • dominio
  • metodo

lookup grupos

  • grupo
  • descripcion
  • buzones

lookup escalado

  • situacion
  • a_quien
  • canal
  • acuse
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad