Preparación forense: qué se conserva y dónde

4 tareas · 40 min · Principiante

Cuando ocurre un incidente, los atacantes borran registros de eventos y tablas temporales. Lees la arquitectura de recolección forense de Valdeolivo para auditar almacenamiento inmutable WORM y TAPs de red.

0 de 4 · 0%

Objetivo de la sala

La preparación forense (Forensic Readiness) implica que la infraestructura tecnológica está diseñada de antemano para capturar y preservar evidencia digital admisible legalmente sin ralentizar la respuesta. Si los registros se almacenan en el propio servidor que sufre el ransomware, el atacante cifrará o borrará las bitácoras, dejando a la organización a oscuras.

Responde para continuar

¿Cuál es el requisito clave de almacenamiento para garantizar la preparación forense de las bitácoras corporativas?

Guardar los registros en la papelera de reciclaje de los puestos de trabajo para facilitar su consulta Escribir las bitácoras únicamente en archivos de texto dentro del directorio temporal del sistema operativo Transmitir los registros en tiempo real a un repositorio externo inmutable (WORM) protegido contra modificación o borrado

Ver pista de ayuda

Recuerda que la evidencia debe mantenerse fuera del alcance de los administradores y atacantes del servidor local.

Para analizar el movimiento lateral y las conexiones de comando y control (C2), Valdeolivo dispone de derivadores pasivos (TAPs) en enlaces troncales.

Abre el laboratorio y consulta arquitectura-recoleccion-forense.txt. Identifica el destino de almacenamiento configurado para los TAPs de red troncal.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué destino de almacenamiento reciben los TAPs de red troncal para captura completa de paquetes? Escribe el texto exacto.

Ver pista de ayuda

Consulta la columna destino_almacenamiento en la primera fila de la tabla.

Los archivos PCAP generados por los TAPs de red se preservan bajo una política de almacenamiento inmutable donde nadie puede alterar los bytes.

Revisa arquitectura-recoleccion-forense.txt e identifica el período de retención inmutable en almacenamiento WORM para los paquetes de red.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuántos días de retención inmutable en almacenamiento WORM tienen los paquetes de red según la tabla?

Ver pista de ayuda

Consulta la columna retencion_inmutable para la fuente de TAPs de red.

Para que un volcado de memoria RAM o un archivo de registro sea admisible en un proceso judicial o peritaje de seguros, debe calcularse su hash criptográfico (SHA-256) en el instante de su captura y firmarse digitalmente, garantizando la inmutabilidad de la cadena de custodia.

Responde para continuar

¿Qué garantiza el cálculo de hash criptográfico y la firma digital al capturar evidencia digital?

Convierte automáticamente los registros de texto plano en sentencias SQL ejecutables Aumenta la velocidad de descarga de los archivos de registro hacia los equipos portátiles de los analistas Demuestra de forma matemática que la evidencia no ha sufrido alteraciones ni manipulaciones desde el momento de su recolección

Ver pista de ayuda

Analiza la preservación de la integridad y autenticidad de la evidencia pericial ante tribunales.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: arquitectura.valdeolivo-salud.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Diseñar para la investigabilidad (Design for Forensics)

2 Destino de captura de paquetes de red troncal Lab

3 Retención inmutable en almacenamiento WORM Lab

4 Firma digital y cadena de custodia automatizada

Whoami-Labs Pro utiliza cookies