La pirámide del dolor — qué indicador le duele al atacante

5 tareas · 40 min · Principiante

Un informe de amenazas llega con una lista de indicadores y la tentación es cargarlos todos y dar el trabajo por hecho. No todos valen lo mismo: unos se cambian en un minuto y otros obligan al atacante a rehacer su forma de trabajar. Martes 9 de marzo, Cerámica Quimbaya: el informe de una campaña de hojas de cálculo falsas, nueve indicadores, una segunda oleada tres días después y la pregunta de siempre, qué merece que el SOC le dedique tiempo.

0 de 5 · 0%

Objetivo de la sala

David Bianco publicó en 2013 la pirámide del dolor para ordenar los indicadores por una sola pregunta: ¿cuánto le molesta al atacante que se los detecten? En la base están los que cambia sin esfuerzo, como la huella de un archivo; después, la dirección del servidor y el nombre de dominio; en medio, los rastros que deja su actividad en la red y en el equipo; más arriba, el software con el que trabaja; y en la punta, su forma de actuar.

Subir en la pirámide cuesta más a quien defiende, porque cada nivel es más difícil de ver y de escribir, pero también le cuesta más al atacante: cambiar una huella es recompilar, cambiar una forma de actuar es reaprender el oficio.

Abre el laboratorio y mira la tabla de niveles. Un indicador del informe es una tarea programada que el atacante dejó en el puesto para volver a arrancar.

Responde para continuar

Escribe el nombre del nivel de la pirámide donde está la tarea programada que el atacante deja en el puesto.

Ver pista de ayuda

Ejecuta `SELECT * FROM niveles` y busca el nivel cuya descripción incluye las tareas.

Una herramienta del atacante, el programa con el que hace su trabajo, no es lo mismo que un archivo concreto. El archivo es una copia: se recompila, se empaqueta de otra manera y su huella cambia. La herramienta es la familia, lo que el antivirus reconoce por cómo está hecha aunque la huella sea otra, y eso cuesta rehacerlo.

Por eso detectar la familia vale más que detectar una copia, y por eso en un informe hay que mirar qué se describe, no solo el formato del valor.

Responde para continuar

Escribe el identificador del indicador del informe que describe una herramienta del atacante.

Ver pista de ayuda

Ejecuta `SELECT * FROM indicadores` y lee cómo se observó cada uno. Una huella, una dirección y un dominio no son una herramienta.

La mejor prueba de la pirámide es mirar qué pasa cuando el atacante vuelve. El viernes 12 de marzo hubo una segunda oleada. El SOC había bloqueado lo de la primera, así que lo que cambió es lo que al atacante le salió barato cambiar; lo que se repitió es lo que le costaba demasiado.

Se compara lo que reapareció con el nivel de cada indicador, y se mira el más alto de los que volvieron.

Responde para continuar

Escribe el identificador del indicador de mayor nivel de la pirámide que reapareció sin cambios en la segunda oleada.

Ver pista de ayuda

Ejecuta `SELECT * FROM segunda_oleada WHERE aparecio_igual = 'si'` y ordena esos indicadores por el nivel de la tabla de niveles.

El SOC tiene horas para escribir una sola regla nueva. Las tres propuestas suenan razonables; la pirámide ayuda a ver cuál obliga a rehacer algo caro y cuál se esquiva cambiando un valor.

Responde para continuar

Con lo que se vio en las dos oleadas, ¿qué regla le cuesta más al atacante?

Alertar de escritorio remoto al servidor de archivos fuera del horario, desde un puesto que ese día abrió un adjunto con macro Bloquear en el proxy, con renovación diaria, los dos dominios y las dos direcciones que ya usó, para que la lista no se quede corta en la próxima oleada Añadir a la lista de la pasarela los dos hashes de adjuntos que se conocen, como se hizo con el primer informe del martes

Ver pista de ayuda

Mira en `segunda_oleada` qué se mantuvo y qué cambió. ¿Qué valor cambia en un minuto y cuál no?

Un compañero propone borrar de las listas todos los hashes, las direcciones y los dominios: «no duelen, ocupan sitio». La pirámide dice qué duele, no qué sirve. Hay que pensar en el costo de mantener cada lista y en lo que frena mientras está puesta.

Responde para continuar

¿Qué contestas a la propuesta de borrar esas listas?

Que se borren, porque el atacante las esquiva en cuanto cambia de servidor y mantener algo inútil resta atención Que se queden, porque cuestan minutos y frenan la repetición exacta, y que no sean lo único que se tenga contra la campaña Que se queden por completo, porque con ellas bastan para cubrir cualquier campaña y las reglas de comportamiento solo duplican trabajo

Ver pista de ayuda

Mira `SELECT * FROM controles`. ¿Cuánto cuesta mantener esas listas, y qué cuesta no tenerlas?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Seis niveles, de la base a la punta Lab

2 Una herramienta no es un archivo Lab

3 Lo que sobrevive a un cambio Lab

4 Qué regla cuesta más al atacante Lab

5 Lo bajo no es inútil Lab

Whoami-Labs Pro utiliza cookies