Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Cuarenta alertas y ocho horas

5 tareas · 55 min · Principiante

Simulacro. Martes 8 de diciembre, 14:00: empieza tu turno de tarde en Delta Cargo y estás sola hasta las 22:00. Otra fecha, otras personas, otros equipos y otras direcciones que las de los módulos anteriores. El turno de mañana te entrega la cola en cero y bien escrita, y en las cinco horas siguientes entran cuarenta alertas de once reglas distintas. Tienes la cola, la historia de aciertos de cada regla, los avisos vigentes del equipo de detección, los cambios aprobados, los tickets de la mesa de ayuda y el inventario de activos. Nadie te va a decir cuáles importan. Esta sala es solo el primer barrido: lo que se puede cerrar en bloque con criterio, para que quede sitio en la cabeza para lo que no.

0 de 5 · 0%

Objetivo de la sala

Con cuarenta alertas encima no se empieza por la primera: se empieza buscando bloques. Un bloque es un grupo de alertas que una sola explicación cubre entera —un cambio aprobado o un aviso vigente—, y cerrarlo cuesta lo mismo que cerrar una. Agrupa la cola por regla, mira qué avisos hay vigentes y fíjate en que uno de ellos no se queda en una sola regla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador del aviso del equipo de detección que explica siete de las cuarenta alertas de la tarde.

Formato esperado: DET-___

Ver pista de ayuda

Hay un aviso que afecta a dos reglas a la vez, una del proxy y otra de la pasarela de correo. Antes de contar, lee el detalle de cada alerta de esas dos reglas: no todas llevan el mismo dominio.

Seis cuentas bloqueadas contra el portal de facturación en cuatro horas tiene toda la pinta de un ataque de contraseñas, y es justo lo que esa regla existe para ver. Mira la forma: las seis son de personas distintas, las seis salen de direcciones de la propia empresa y las seis tienen exactamente cinco intentos seguidos. Nadie prueba cinco contraseñas y se va; eso lo hace un programa que guarda la vieja. Busca qué se tocó anoche.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador del cambio aprobado que explica los seis bloqueos de cuenta de la tarde.

Formato esperado: CHG-____

Ver pista de ayuda

No lo busques dentro de la ventana de la tarde: el cambio que lo explica se ejecutó la noche anterior y no toca ningún servidor, sino el directorio de la empresa.

El antivirus salta en seis puestos de seis áreas distintas por el mismo archivo y la misma firma. Esa regla acierta dos veces de cada noventa y seis, y el equipo de detección ya dijo por escrito qué es ese archivo. Decide qué haces con las seis.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Seis detecciones del antivirus sobre el mismo ejecutable y con un aviso vigente que lo explica. ¿Qué haces?

Las dejas abiertas hasta que el fabricante retire la firma, para que no se pierda el rastro si alguna de las seis resulta ser otra cosa Las cierras como falso positivo con el aviso como motivo, y dejas escrito el nombre del archivo y su firma para reconocer de un vistazo las que lleguen mañana Abres un caso por cada puesto y pides a soporte que reinstale los seis equipos esta misma tarde, porque una herramienta marcada por el antivirus no puede quedarse corriendo en el parque

Ver pista de ayuda

Pregúntate si lo que la regla describe ocurrió o no ocurrió, y qué gana el turno de mañana si hoy queda escrito el indicador en vez de seis casos.

Esas seis alertas no son seis casos: son seis apariciones del mismo dato. Un indicador —un nombre de archivo, un hash, un dominio— es lo que convierte una máquina en un parque, porque se busca igual en los cuatrocientos equipos. Saca el que resuelve estas seis y el de mañana.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del ejecutable, con su extensión, que el antivirus marca en los seis puestos.

Ver pista de ayuda

Está en el detalle de cada una de esas seis alertas, y también en la columna del aviso que dice a qué afecta. Copia el nombre tal cual, sin la firma que va detrás.

El primer barrido ha cerrado seis bloques con su motivo escrito: el antivirus, el boletín del proveedor, los bloqueos, la revisión de puertos, el despliegue del cierre diario y tres peticiones de segundo factor que la mesa de ayuda explica. Veintinueve alertas, seis decisiones. Lo que queda es el turno de verdad.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Terminado el primer barrido, ¿con qué te quedas y cómo sigues?

Con las ocho de severidad alta, que son las únicas que justifican el tiempo que queda de turno; el resto se revisa mañana con calma Con once alertas que ningún cambio ni aviso explica, y las miras una a una sin dejar que la severidad te ordene el trabajo Con la cola entera otra vez desde arriba, porque cerrar en bloque es un atajo y cualquiera de las veintinueve podría ser distinta de las demás de su grupo

Ver pista de ayuda

Cerrar en bloque no es cerrar por regla: cada una de las veintinueve se cerró porque su detalle coincidía con un cambio o un aviso concreto. Y la severidad es la etiqueta que trae la regla, no lo que sabes tú.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — cola del turno de tarde, martes 8 de diciembre

OpenSearch · consultas guardadas

Tablas

traspaso

hora
autor
apartado
nota

cola

id
llegada
regla
severidad
activo
cuenta
ip_origen
detalle

reglas

regla
verdaderos_90d
disparos_90d
confianza

avisos

aviso
reglas_afectadas
afecta_a
texto

cambios

cambio
ventana
activo
ejecuta
descripcion
estado

mesa_ayuda

ticket
hora
cuenta
motivo
estado

activos

activo
funcion
criticidad
responsable

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Lo que ya tiene explicación escrita Lab

2 Seis personas, el mismo portal, la misma forma Lab

3 Seis puestos y un solo archivo Lab

4 El dato que vale para las seis Lab

5 Con qué te quedas Lab

Whoami-Labs Pro utiliza cookies