Red y puesto, lo que se cierra y lo que se mira

5 tareas · 55 min · Principiante

12:35. Terminada la comida de turnos, te toca el bloque de red, puestos y nube, con 37 alertas de dominios nuevos o sin clasificar, 31 del agente de los puestos y las de nube. Los cambios aprobados de hoy explican mucho, pero no todo. Tienes los registros del agente de los puestos, del proxy y del DNS, el calendario de cambios y la lista de dominios que cada área registró con el SOC.

0 de 5 · 0%

Objetivo de la sala

Treinta y una alertas del agente del puesto por una herramienta de administración remota: un solo firmante, una sola ruta, treinta y un equipos y todas en las mismas dos horas de la mañana. Para cerrarlas en bloque hay que comprobar contra el calendario de cambios qué hizo el cambio, cuándo y en qué equipos.

Responde para continuar

Escribe el identificador del cambio aprobado que explica las treinta y una alertas de administración remota.

Formato esperado: CHG-____

El cambio coincide en lo que hizo, en la ventana y en el número de equipos. Una herramienta de administración remota es también lo que usa quien no debería estar, y por eso se cierra con criterio y no por el nombre del programa.

Responde para continuar

¿Cómo cierras las 31 alertas del agente?

Las cierras porque el firmante es un proveedor conocido, sin mirar el calendario de cambios ni las horas de las instalaciones, para ganar tiempo hoy Las cierras en bloque con el cambio como motivo, porque firmante, ruta, horas y número de equipos coinciden con su alcance, y dejas anotada la lista Las dejas abiertas una a una, porque una herramienta de administración remota es lo que usa un intruso y ningún cambio aprobado quita ese riesgo

De las 37 alertas de red, la mayoría son dominios de una campaña, de las balanzas o de un catálogo, y las áreas los registraron. Uno de los cuatro dominios de la lista no está entre los aprobados. El DNS dice a qué dirección apunta.

Responde para continuar

Escribe la dirección a la que resuelve el dominio que no está en la lista de dominios aprobados.

Una página y un envío de formulario treinta y ocho segundos después, de 612 bytes. El proxy no ve qué se escribió; ve que se envió, y desde qué cuenta y qué equipo.

Responde para continuar

Escribe la cuenta que envió el formulario al dominio que no está en la lista aprobada.

Hay una cuenta que escribió algo en un dominio sin dueño, y es una de las tres cuentas a las que llegó el mensaje reclasificado esta mañana. El agente del puesto está al día y no tiene alertas en siete días. El puesto no es lo que está en duda: lo está la cuenta.

Responde para continuar

¿Qué haces con esa cuenta antes de cerrar el bloque de red?

Añadir el dominio a la lista de dominios aprobados para que deje de alertar, porque lo visitó una persona de finanzas desde su puesto de trabajo, sin esperar confirmación Pedir a identidad restablecer la contraseña y revocar sesiones, y buscarla en identidad y nube antes de cerrar; el puesto no se aísla por esto solo Aislar su puesto ahora mismo: enviar un formulario a un dominio nuevo prueba que el equipo está infectado y cada hora cuenta

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Treinta y una alertas de una herramienta Lab

2 Cerrar en bloque, con la lista Lab

3 El dominio que nadie registró Lab

4 Quién lo visitó Lab

5 Qué se hace antes de cerrar el bloque Lab

Whoami-Labs Pro utiliza cookies