🔒 Registro cerrado · Apertura oficial próximamente · Acceso exclusivo para alumnos activos
Iniciar SesiónHasta dónde llegó y a quién se avisa
6 tareas · 50 min · Principiante
18:19. Ya sabes que una contraseña de facturación salió de la empresa a las 15:26 y que a las 16:03 alguien la usó desde fuera. Lo que no sabes todavía es qué hizo con ella, y eso no está en el SIEM que acabas de consultar: la pasarela de correo de Delta entrega sus registros al SIEM de búsqueda por tuberías estilo SPL del módulo anterior, y hay que cambiar de consola. Tienes el correo de la empresa, el proxy, los grupos de distribución y la matriz de escalado. No hay paso a paso: mide el alcance antes de llamar a nadie, porque lo que digas en esa llamada decide lo que hacen al otro lado.
Objetivo de la sala
18:19. Ya sabes que una contraseña de facturación salió de la empresa a las 15:26 y que a las 16:03 alguien la usó desde fuera. Lo que no sabes todavía es qué hizo con ella, y eso no está en el SIEM que acabas de consultar: la pasarela de correo de Delta entrega sus registros al SIEM de búsqueda por tuberías estilo SPL del módulo anterior, y hay que cambiar de consola. Tienes el correo de la empresa, el proxy, los grupos de distribución y la matriz de escalado. No hay paso a paso: mide el alcance antes de llamar a nadie, porque lo que digas en esa llamada decide lo que hacen al otro lado.Busca qué ha mandado esa cuenta esta tarde. Lo que vas a encontrar no levantó ni una alerta, y conviene entender por qué antes de seguir: la regla de envío masivo de Delta vigila el correo que cruza hacia internet, y esto no cruzó.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
Escribe cuántos mensajes salieron de esa cuenta hacia buzones internos esta tarde.
Ver pista de ayuda
Busca en el índice del correo por esa cuenta como remitente y cuenta los mensajes agrupando por si el destino es interno o externo. El número de fuera es cero, y eso también explica el silencio.
Para escalar no vale «a mucha gente». Quien administra el correo necesita saber exactamente qué purgar, y eso se dice con un nombre, no con un número: la sesión escribió un solo destinatario y detrás había mil cuatrocientos buzones.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
Escribe el nombre del grupo de distribución al que se mandaron esos mensajes.
Ver pista de ayuda
Agrupa los mensajes de esa cuenta por grupo, o abre la lista de grupos de la empresa y busca el que cuadra con la cifra que acabas de obtener.
Cada minuto que la sesión siga abierta es otra tanda de correos, y cada minuto que los mensajes sigan en los buzones es otra persona que hace clic. Tú no llevas el caso hasta el final, pero el nivel 1 recomienda la contención con criterio, y aquí el orden importa.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
¿Qué pides que se haga ya?
Ver pista de ayuda
Una sesión ya abierta no se cierra sola al cambiar la contraseña, y una regla de bandeja que nadie retira sigue escondiendo las respuestas de quien pregunte. Y el mensaje ya entregado no deja de existir porque el dominio esté bloqueado.
Antes de la llamada, un dato más. El alcance de un correo no se mide por a cuántos llegó, sino por cuántos hicieron algo con él, y de eso depende si mañana hay que avisar a veintitrés personas o restablecer veintitrés contraseñas.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
El proxy dice que en la hora siguiente al envío veintitrés cuentas distintas abrieron el enlace y que ninguna envió el formulario. ¿Qué cambia eso?
Ver pista de ayuda
El cero de formularios enviados vale tanto como el veintitrés de clics. Pero abrir la página tampoco es inofensivo: esas veintitrés personas vieron una página que les pedía la contraseña y alguna puede volver.
Son las 18:30 y toca escalar. La matriz de Delta no tiene una fila para «esto»: tiene filas para situaciones, y esta tarde encaja en varias a la vez. Elige con qué llamas, sabiendo que al otro lado hay alguien que no ha visto nada de lo que tú llevas cuatro horas mirando.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
¿Cómo escalas?
Ver pista de ayuda
La matriz trabaja por situaciones y una tarde puede caer en tres a la vez; cuando eso pasa se cumplen todas. Y la prioridad con la que llegó una alerta describe lo que se sabía entonces, no lo que sabes ahora.
La administración del correo de Delta no está en el edificio: el servicio lo opera un proveedor gestionado, y su mesa de soporte trabaja en inglés. La llamada avisa; la purga se pide por ticket, y ese ticket lo va a ejecutar alguien en otro país que no conoce a nadie de Delta ni ha visto nada de tu tarde. Lo que necesita es con qué encontrar los mensajes —remitente, hora, asunto—, por qué corre prisa y qué se le pide exactamente, y que le digan cuándo confirmar.
Lo que no le sirve es la cortesía que ocupa la primera línea ni una conclusión que nadie ha comprobado: en un ticket, una suposición se ejecuta como si fuera un hecho, y la acción que pide viene con ella.
Esta tarea se hace en el laboratorio
Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.
Responde para continuar
Son las 18:30. ¿Con qué línea abres el ticket de purga para la mesa del proveedor?
Ver pista de ayuda
Quien lo ejecuta no estuvo en tu tarde. Quédate con la línea que le da con qué buscar los mensajes y qué hacer con ellos, sin cortesías ni conclusiones que el proxy desmiente.
Conectando con la base…
Índices y lookups
index=correo
- _time
- remitente
- destino
- grupo
- asunto
- enlace
- estado
index=proxy
- _time
- cuenta
- equipo
- dominio
- metodo
lookup grupos
- grupo
- descripcion
- buzones
lookup escalado
- situacion
- a_quien
- canal
- acuse
El resultado aparece aquí.
fila(s)
Whoami-Labs Pro
Whoami-Labs Pro utiliza cookies
Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad
Preferencias
Configuraciones de cookies
Elige qué categorías permitir. Las esenciales siempre están activas. Consulta la Política de Privacidad.
Esenciales
Siempre activas · sesión, CSRF, tema y esta preferencia
Necesarias para iniciar sesión, proteger formularios (CSRF) y recordar tu elección de cookies y tema. Sin ellas la plataforma no funciona de forma segura.
Analíticos
Hoy no activos en la plataforma; listos para cuando se conecten
Nos ayudan a entender uso de cursos y páginas. Si los activas, se usarán cuando conectemos analítica; hasta entonces no se carga ningún tracker.
Marketing
Hoy no activos; campañas futuras solo con tu permiso
Comunicaciones o campañas. No activos hoy en la plataforma; quedarán listos si los conectamos y solo si los permites.