Lo que trae cada SIEM y lo que le falta

5 tareas · 55 min · Principiante

Simulacro. Lunes 14 de junio de 2027, 08:30. Estero Dorado, productora de arroz y harinas, tiene dos sedes que hasta marzo eran dos empresas: Cuchilla, la casa matriz, con SOC propio y su SIEM, y Rebalse, la adquirida, que vigila un proveedor externo con otro SIEM. El contrato del proveedor termina el martes a las 18:00 y el miércoles a las 06:00 asumes tú con el equipo de Cuchilla. Antes de que eso ocurra alguien tiene que decir qué ve cada SIEM y qué no. Tienes el inventario de fuentes de los dos, el de reglas con la fuente que lee cada una y las cifras de volumen y de licencia. Nadie te va a decir dónde mirar.

0 de 5 · 0%

Objetivo de la sala

Antes de unir nada hay que saber qué ve cada SIEM. Una fuente puede llegar completa, llegar a medias o no llegar, y son tres situaciones distintas que se informan distinto. Compara los dos inventarios y fíjate en la columna que dice si cada fuente llega.

Responde para continuar

Escribe la fuente de Rebalse que no llega a su SIEM.

Un inventario donde todo figura como activo tranquiliza, y puede ser falso. Una regla ve lo que ve la fuente que lee: si esa fuente no llega, la regla está encendida y a oscuras. Cruza lo que lee cada regla de Rebalse con lo que de verdad llega a su SIEM.

Responde para continuar

Escribe el identificador de la regla de Rebalse que figura activa y lee una fuente de la que no llega nada.

Formato esperado: RB-___

El miércoles el equipo pasa a mirar un solo SIEM. Lo que el de Rebalse ya guarda tiene su propia retención, distinta de la de Cuchilla, y una investigación abierta puede necesitar un dato de hace semanas. Mira cuánto conserva cada fuente antes de decidir.

Responde para continuar

¿Qué haces con el SIEM de Rebalse el día del cambio?

Lo dejas solo para consulta hasta que venza la retención más larga de lo que no se haya copiado, y anotas esa fecha en el plan Copias solo las reglas al SIEM de Cuchilla y descartas los eventos viejos, porque nadie investiga con datos de hace más de un mes Lo apagas ese día, porque con las reglas ya trasladadas lo que guarda deja de hacer falta

Unir dos sedes en un SIEM es también una cuenta de eventos al día. Suma lo que trae cada uno, incluida la fuente que Rebalse todavía no envía y habrá que activar, y compara con lo que admite la licencia de Cuchilla.

Responde para continuar

Si todo llega al SIEM de Cuchilla, ¿cuántos millones de eventos al día quedan por encima de su licencia? Escribe solo el número.

El jefe de TI de Rebalse te pregunta cuántas de sus seis reglas están funcionando. Responde solo con lo que muestran los dos inventarios, sin redondear hacia lo tranquilizador.

Responde para continuar

¿Cómo le informas de la cobertura de sus reglas?

Tres activas que ven lo que dicen ver y tres silenciadas a propósito, que se levantarán cuando haga falta Una ve todo lo que dice ver, una solo en servidores y una no ve nada; las otras tres están silenciadas Seis de seis, porque todas figuran en el inventario heredado y ninguna se ha borrado

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La fuente que no llega Lab

2 La regla activa que no ve Lab

3 El SIEM viejo el día del cambio Lab

4 La cuenta de volumen Lab

5 Qué le dices al jefe de Rebalse Lab

Whoami-Labs Pro utiliza cookies