Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Las que parecen graves

5 tareas · 55 min · Principiante

18:00. Quedan once alertas que ningún cambio ni aviso explica, y siete de ellas dan miedo leídas en voz alta: dos sesiones de escritorio remoto en los dos servidores críticos de la tarde, tres viajes imposibles y casi ochenta gigabytes saliendo de la empresa. Las otras cuatro parecen menudencias. Tienes los cambios, la telemetría del agente de esos servidores, el registro de inicios de sesión, el del agente de copias, la reputación de las direcciones y el directorio. No hay paso a paso: comprueba una a una las que alarman y quédate con lo que quede en pie.

0 de 5 · 0%

Objetivo de la sala

18:00. Quedan once alertas que ningún cambio ni aviso explica, y siete de ellas dan miedo leídas en voz alta: dos sesiones de escritorio remoto en los dos servidores críticos de la tarde, tres viajes imposibles y casi ochenta gigabytes saliendo de la empresa. Las otras cuatro parecen menudencias. Tienes los cambios, la telemetría del agente de esos servidores, el registro de inicios de sesión, el del agente de copias, la reputación de las direcciones y el directorio. No hay paso a paso: comprueba una a una las que alarman y quédate con lo que quede en pie.

Empieza por lo que más asusta. Dos sesiones de escritorio remoto asistido, en el servidor de bodega y en el de facturación, con la cuenta administrativa de infraestructura. Hay dos cambios aprobados que caen sobre esos mismos dos servidores, con esa misma cuenta y en ventanas que se solapan, así que no basta con que el servidor coincida: lee qué describe cada uno.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador del cambio aprobado que explica las dos sesiones de escritorio remoto asistido.

Formato esperado: CHG-____

Ver pista de ayuda

Uno de los dos cambios habla de tareas que se crean solas al desplegar; el otro, de alguien conectándose acompañado. Y mira también la hora: las dos sesiones caen dentro de una de las dos ventanas.

Un cambio aprobado dice que alguien iba a conectarse; no dice qué hizo una vez dentro. Para eso está la telemetría del agente, que guarda el árbol aunque los procesos ya hayan muerto. Míralo antes de cerrar las dos alertas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

El agente de los dos servidores registra, en las dos ventanas, dos procesos firmados por el proveedor del sistema de bodega, lanzados desde su carpeta de instalación por el servicio de escritorio remoto. ¿Qué concluyes?

Ver pista de ayuda

Una firma válida y una carpeta de instalación correcta son dos cosas distintas, y el módulo del agente insiste en la segunda. Pregúntate qué habrías visto si esa sesión hubiera hecho algo más que abrir la consola del proveedor.

Tres viajes imposibles en una tarde, de tres cuentas de áreas distintas, las tres contra el correo en la nube. Que tres personas distintas aparezcan en la misma ciudad la misma tarde no es una campaña coordinada: es algo que cambió en la empresa y que la regla todavía no sabe. Mira de dónde entran las seis sesiones que dispararon las tres alertas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la dirección de origen desde la que entran las tres cuentas que dispararon el viaje imposible.

Formato esperado: ___.___.___.___

Ver pista de ayuda

Las tres alertas comparten esa dirección y el registro de sesiones dice con qué método entraron. Lo que la explica está en un cambio aprobado del día anterior que no toca ningún servidor.

La última de las que alarman: dos transferencias salientes grandes desde dos servidores, con una cuenta de servicio, casi ochenta gigabytes en dos horas. Es lo más parecido a una fuga de datos de todo el turno y es la que menos trabajo te va a dar. Mira a dónde fueron.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Las dos transferencias van a la misma dirección externa y el registro del agente de copias lleva escrito el cambio que las ampara. ¿En qué cajón van?

Ver pista de ayuda

La pregunta de siempre: lo que la regla describe, ¿ocurrió o no ocurrió? Y un volumen grande no es una señal por sí solo; lo que importa es el destino y quién lo autorizó.

Siete de las once se han caído y ninguna era nada. Quedan cuatro, y entre ellas hay una del proxy: un puesto que se conectó a un dominio registrado hace cuatro días, severidad baja, de una regla que acierta siete veces de cada ciento cuarenta. Es la que menos llama la atención de toda la tarde. Sácale el dominio.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el dominio al que se conectó el puesto en la única alerta del proxy que ningún cambio ni aviso de la tarde explica.

Ver pista de ayuda

De las seis alertas del proxy de esa regla, cinco llevan el mismo dominio del boletín y una no. Y el aviso de la pasarela que también quedó sin explicar apunta al mismo sitio.

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — las once que el barrido no cierra
OpenSearch · consultas guardadas

Tablas

pendientes

  • id
  • llegada
  • regla
  • severidad
  • activo
  • cuenta
  • ip_origen
  • detalle

cambios

  • cambio
  • ventana
  • activo
  • ejecuta
  • descripcion
  • estado

procesos

  • hora
  • equipo
  • proceso
  • ruta
  • firma
  • usuario
  • padre

sesiones

  • hora
  • cuenta
  • aplicacion
  • ip_origen
  • metodo
  • resultado

copias

  • hora
  • origen
  • destino
  • bytes
  • cambio

reputacion

  • ip
  • sistema_autonomo
  • propietario
  • categoria
  • reportes_30d

directorio

  • cuenta
  • area
  • tipo
  • jefe
  • horario
  • segundo_factor
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad