Los datos que hacen falta

5 tareas · 35 min · Principiante

Lunes 1 de marzo, 11:00. La hipótesis HIP-11 de Molinos del Sinú ya está escrita: busca tareas programadas con nombre de actualizador en los servidores. Antes de lanzar una sola consulta hay que contestar otra pregunta, más aburrida y más importante: ¿existe el dato que la comprobaría? Aquí verificas la fuente, su historia y su cobertura, y aprendes a escribir lo que una búsqueda vacía puede y no puede decir.

0 de 5 · 0%

Objetivo de la sala

Una hipótesis bien escrita puede ser imposible de comprobar con lo que tienes. Antes de buscar, tres comprobaciones, siempre en este orden.

Que la fuente exista y llegue al SIEM. Un registro que está en el equipo pero no llega al SIEM no se puede consultar; es una petición pendiente. Que guarde tantos días como la ventana. Si la hipótesis pide 90 días y la tabla guarda 30, los 60 días más viejos nunca se miraron, y lo que digas de ellos es una suposición. Que cubra los equipos de la hipótesis. Que la tabla exista no significa que todos los equipos escriban en ella: un grupo sin agente aporta cero eventos, y cero eventos se lee igual que «no pasó nada».

Las tres comprobaciones se hacen sobre el catálogo de fuentes, no sobre la intuición, y se anotan: son parte de lo que la cacería dirá cuando termine.

Responde para continuar

Tienes la hipótesis escrita. ¿Qué compruebas antes de lanzar la búsqueda?

Que el analista que la va a ejecutar tenga permiso de lectura en el SIEM y que la consulta termine en menos de un minuto Que la hipótesis salga de un aviso reciente de inteligencia, porque las cacerías de otro origen suelen terminar sin resultado Que la fuente llegue al SIEM, que guarde tantos días como la ventana y que los equipos de la hipótesis envíen sus eventos

Ver pista de ayuda

Piensa en las tres maneras en que una búsqueda puede devolver vacío sin que la hipótesis sea falsa.

El equipo de plataforma mantiene el catálogo de fuentes en la tabla fuentes: qué registra cada una, cuántos días de historia guarda y si llega al SIEM. HIP-11 habla de tareas programadas creadas con cierto nombre y ejecutable. Hay dos fuentes con nombres parecidos sobre las tareas programadas de Windows y registran cosas distintas: lee bien qué registra cada una y si se puede consultar hoy.

Responde para continuar

Escribe el nombre de la tabla que registra la creación de tareas programadas y que ya llega al SIEM.

Ver pista de ayuda

Ejecuta `fuentes | where llega_al_siem == "sí"` y descarta lo que registra ejecuciones en vez de creaciones.

La tabla hipotesis_alcance dice qué pide HIP-11: la fuente, la ventana en días y los grupos de equipos a los que se refiere. Compara la ventana con la retención de esa fuente en fuentes. La diferencia es el tramo que la búsqueda no puede ver, por muy bien escrita que esté la consulta.

Responde para continuar

HIP-11 pide una ventana de 60 días. Si la búsqueda sale vacía, ¿qué sostiene ese resultado?

Que no hubo ninguna tarea de ese tipo en la ventana completa de 60 días que pedía la hipótesis, que por tanto queda descartada del todo Que no hubo ninguna tarea de ese tipo en los últimos 45 días; los 15 anteriores no se vieron y no se puede decir nada de ellos Que no hubo ninguna tarea de ese tipo en 14 días, que es lo que guarda la fuente de las ejecuciones del programador

Ver pista de ayuda

Resta la retención de `tareas_win` en `fuentes` a la ventana de `hipotesis_alcance`.

La retención es un límite en el tiempo; la cobertura es un límite en el espacio. La tabla cobertura_agentes dice cuántos equipos de cada grupo envían los eventos de tareas al SIEM. Cruza los grupos que nombra HIP-11 en hipotesis_alcance con esa tabla: uno de ellos no aportaría ni un solo evento, y la búsqueda sobre él daría vacío aunque allí hubiera algo.

Responde para continuar

Escribe el nombre del grupo de equipos de HIP-11 que no envía ningún evento de tareas al SIEM.

Ver pista de ayuda

Ejecuta `cobertura_agentes | where con_agente_de_tareas == 0` y comprueba que ese grupo está en la columna grupos de `hipotesis_alcance`.

La hipótesis está bien escrita, la fuente existe y llega, pero la retención es más corta que la ventana y un grupo entero no escribe en ella. En un turno real hay tres salidas y dos de ellas son errores comunes: lanzar igual y concluir lo que no se puede concluir, o tirar la hipótesis porque los datos no alcanzan. Lo que hace un cazador es buscar lo que se puede ver, decir el límite con todas las letras y pedir lo que falta.

Responde para continuar

¿Qué haces con HIP-11 sabiendo lo que hay en las tablas?

La lanzas sobre lo que sí se ve, anotas que solo cubre 45 días y deja fuera un grupo de servidores, y pides el agente y más retención La lanzas tal cual y, si sale vacía, la das por descartada para los 60 días y todos los servidores que nombra la hipótesis La descartas por ahora, porque con una fuente a medias ninguna búsqueda dejaría algo útil y es mejor esperar a tener los datos completos

Ver pista de ayuda

Una búsqueda parcial bien documentada vale más que una completa que no se puede lanzar, y mucho más que una que dice lo que no vio.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Tres comprobaciones antes de lanzar

2 La fuente que sí existe Lab

3 Los días que no se ven Lab

4 El grupo que no escribe nada Lab

5 Qué haces con la hipótesis Lab

Whoami-Labs Pro utiliza cookies