Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Que no vuelva a pasar sin verse

5 tareas · 50 min · Principiante

05:05. Respuesta a incidentes contuvo el caso con tiempo y a la hora de las tareas no se ejecutó nada. Te queda menos de una hora de turno y una incomodidad: esta noche se vio por una alerta baja que nadie mira primero, enterrada entre sesenta y cuatro altas. Una regla que habría saltado no saltó, y otra que habría servido no existe. Tienes la contención, las reglas de la sede, sus excepciones y las pruebas de las versiones que has preparado contra los últimos treinta días. Esta sala es lo que el turno deja para que la próxima vez salte sola.

0 de 5 · 0%

Objetivo de la sala

La sede tiene una regla para un origen que abre el 445 contra veinte o más equipos en diez minutos. Esta noche se cumplió de sobra y no saltó. Una regla activa que no salta ante lo que describe casi siempre tiene una excepción encima.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador de la excepción que impidió que saltara la regla de barrido SMB esta noche.

Formato esperado: EXC-__

Ver pista de ayuda

Busca las excepciones de esa regla y compara lo que excluyen con la dirección del servidor que hizo el barrido.

El motivo de esa excepción es real: el respaldo de cada noche dispara la regla. Pero el motivo es de un servidor y lo excluido es mucho más. Las pruebas contra treinta días comparan cuatro versiones, y dos de ellas dan el mismo número sobre el pasado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo dejas propuesta la excepción?

Acotada al servidor de respaldo, con su cuenta de servicio, su ventana de la noche y el 445, y la regla vuelve a mirar el resto Igual que está, y se crea una regla aparte solo para el servidor de gestión de bodega, que es el que falló esta noche y el único con un proveedor externo Fuera del todo, aceptando que el respaldo dispare la regla cada noche, porque cualquier excepción es un punto ciego y el turno ya sabe reconocerlo

Ver pista de ayuda

Con la versión «solo el equipo», ¿qué pasaría la noche en que el propio servidor de respaldo cayera en otras manos y barriera los puestos a las tres de la mañana?

Lo que de verdad preparó la noche fueron las tareas, y la regla que las vería lee una fuente que en esta sede no llega. La regla propuesta lee la que sí llega: una cuenta que crea la misma tarea en cinco o más equipos en treinta minutos. Antes de proponerla se prueba contra el último mes, y sin excepciones dispara tres veces.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta que explica los dos disparos de la regla propuesta que no son de esta noche.

Ver pista de ayuda

Mira los disparos de la regla contra los treinta días y qué llevan detrás los que no son de esta noche.

Esos dos disparos son despliegues aprobados, y la regla necesita una excepción para ellos. Hay dos maneras de escribirla y las dos dejan la regla con el mismo número de disparos en el último mes. Lo que no se ve en el pasado lo ven los casos de prueba.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador del caso de prueba que falla con la versión que exceptúa a la cuenta de despliegue siempre.

Formato esperado: CP-__

Ver pista de ayuda

Cruza las versiones de la regla con los casos de prueba y lee qué describe el que falla: es justo lo que esa excepción ancha deja pasar.

La regla está escrita, probada contra treinta días y contra sus tres casos, y la versión buena no deja ningún caso fallido. Son las 05:45 y el turno de mañana llega a las 06:00.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con la regla nueva y con la excepción reescrita?

Las dejas propuestas con su ficha, sus casos de prueba y el resultado del mes, para que las revise y active el equipo de detección Las activas en producción antes de irte, porque mañana puede volver a pasar lo mismo y una propuesta tarda días en aprobarse No propones nada hasta que respuesta a incidentes cierre el caso, porque la regla podría cambiar con lo que se encuentre en el servidor

Ver pista de ayuda

Piensa en quién responde de una regla que, activada a las seis de la mañana por una sola persona, deja de ver algo o llena la cola del lunes. Y en qué se pierde si la propuesta espera al cierre del caso.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

SIEM · Delta Cargo — reglas y pruebas, sábado 10 de abril, 05:05

OpenSearch · consultas guardadas

Tablas

contencion

hora
accion
quien

reglas

regla
titulo
tecnica
fuente
estado

excepciones

excepcion
regla
que_excluye
desde
motivo
aprobo

prueba_excepcion

version
que_excluye
disparos_30d
no_eran_incidente_30d
ve_esta_noche

disparos_regla_nueva

fecha
cuenta
tarea
equipos
cambio

casos_prueba

caso
descripcion
debe

prueba_regla_nueva

version
excepcion
disparos_30d
no_eran_incidente_30d
casos_que_fallan

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Por qué calló la regla del barrido Lab

2 Reescribir la excepción Lab

3 La regla que faltaba Lab

4 Dos versiones iguales sobre el pasado Lab

5 Lo que haces con la regla a las seis menos cuarto Lab

Whoami-Labs Pro utiliza cookies