Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Lo que está pasando y lo que no se ve

5 tareas · 55 min · Principiante

00:45. Ya sabes qué servidor de Yumbo ha entrado en los puestos y con qué cuenta. Lo que no sabes todavía es qué ha dejado en ellos, qué hizo antes y, sobre todo, cuánto de esta noche es capaz de ver el SOC en esa sede. Tienes los eventos de Windows de los puestos, lo que el servidor mandó hacia fuera según el cortafuegos de la sede, el estado del agente de cada puesto, la tabla de técnicas con la que el SOC etiqueta, las reglas y las fuentes. Antes de llamar a nadie, ponle nombre a lo que pasa y di qué no se puede ver.

0 de 5 · 0%

Objetivo de la sala

00:45. Ya sabes qué servidor de Yumbo ha entrado en los puestos y con qué cuenta. Lo que no sabes todavía es qué ha dejado en ellos, qué hizo antes y, sobre todo, cuánto de esta noche es capaz de ver el SOC en esa sede. Tienes los eventos de Windows de los puestos, lo que el servidor mandó hacia fuera según el cortafuegos de la sede, el estado del agente de cada puesto, la tabla de técnicas con la que el SOC etiqueta, las reglas y las fuentes. Antes de llamar a nadie, ponle nombre a lo que pasa y di qué no se puede ver.

Un servidor que entra en decenas de puestos y les manda un par de megas a cada uno ha dejado algo. En esta sede el detalle de los procesos no llega, pero el registro de seguridad de Windows sí, y apunta las tareas programadas que se crean.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre del ejecutable, con su extensión, que lanza la tarea creada en los puestos esta noche.

Ver pista de ayuda

Agrupa las tareas de la noche por nombre, acción y creador. Se pide el nombre del archivo, no la ruta completa.

Una tarea programada no hace nada mientras no llegue su disparador. Eso es lo que convierte esta noche en una carrera: hay una hora a la que, si nadie hace nada, eso se ejecuta en todos los puestos a la vez. Todo lo que hagas a partir de aquí se mide contra esa hora.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la hora a la que están programadas las tareas para ejecutarse.

Formato esperado: __:__

Ver pista de ayuda

Está en la columna que dice cuándo se dispara cada tarea, y es la misma en todos los puestos.

Quien reciba el escalado va a buscar en su propia consola por técnica, y el caso se etiqueta con la conducta, no con la herramienta. Hay dos cosas distintas en lo que viste: cómo se llegó a los puestos y qué se dejó en ellos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Con qué técnicas etiquetas lo que pasó en los puestos?

Ver pista de ayuda

Mira el puerto y el tipo de inicio de sesión que viste en la red, y el número de evento de Windows de lo que quedó en los puestos. Y comprueba si algo se ha ejecutado ya.

Si la etapa siguiente de una noche así es borrar las copias de sombra y cifrar, el SOC tiene una regla para lo primero y otra para las tareas programadas. Las dos están activas. Que estén activas en la lista no dice si su fuente llega desde esta sede.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el nombre de la fuente que no llega al SIEM y deja ciegas en los puestos de esta sede a la regla de las tareas programadas y a la del borrado de copias.

Ver pista de ayuda

Mira qué fuente lee cada una de esas dos reglas y busca esa fuente, sede por sede, en la tabla de fuentes.

Quince puestos de la sede tienen el agente sin latido. La regla que avisaría de un agente que deja de informar con el equipo encendido está desactivada desde marzo porque saltaba con cada actualización. Mira cuándo se calló cada uno.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué significan los seis agentes que se callaron esta madrugada?

Ver pista de ayuda

Compara la hora del último latido de los quince y la fecha de la última actualización del agente. Unos se callaron con la tarde; otros, en cinco minutos de esta madrugada y con el equipo encendido.

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — sede de Yumbo, sábado 10 de abril, 00:45
OpenSearch · consultas guardadas

Tablas

tareas

  • hora
  • equipo
  • evento
  • nombre_tarea
  • accion
  • disparador
  • creada_por

salidas

  • inicio
  • fin
  • origen
  • destino
  • puerto
  • bytes_salida
  • bytes_entrada
  • categoria_destino

agentes

  • equipo
  • version
  • ultimo_latido
  • estado
  • ultima_actualizacion

tecnicas

  • id
  • nombre_oficial
  • tactica
  • se_reconoce_por

reglas_activas

  • regla
  • titulo
  • tecnica
  • fuente
  • estado
  • disparos_esta_noche

fuentes

  • fuente
  • sede
  • se_ingiere
  • desde
  • nota
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad