Declarar y escalar el caso

5 tareas · 60 min · Principiante

Viernes 20 de noviembre, última hora de la caza de Hilanderías Corvaleda. Tienes el expediente que armaste durante la semana, el procedimiento de escalamiento, la clasificación de los datos, el registro de incidentes del día y el borrador de comunicación que dejó un compañero. Esta sala no lleva pistas ni paso a paso: lo que firmes aquí es lo que recibirá el equipo de respuesta a incidentes.

0 de 5 · 0%

Objetivo de la sala

Los rastros están unidos, descartados los benignos y medidas las cifras. Queda lo que ningún dato decide por ti: declarar si lo reunido es o no un incidente. La decisión se justifica con lo observado y se acota a su alcance; no se pospone hasta que una alerta la tome por ti.

Responde para continuar

Con el expediente completo, ¿cómo declaras el caso?

No es un incidente: cada rastro tiene una explicación posible por separado, así que ninguno justifica abrir uno mientras no salte una alerta Todavía no: primero hay que bloquear el dominio y borrar la tarea, y después se decide si lo ocurrido fue un incidente Incidente probable: varias fuentes independientes convergen en una cuenta y un puesto, con salida de datos

El procedimiento de la empresa define los niveles de severidad según el tipo de dato y la actividad observada, y la clasificación de datos dice qué es cada recurso. Se aplica la matriz a lo que el expediente afirma, no a lo que se teme.

Responde para continuar

Aplica la matriz de severidad del procedimiento a los hechos del expediente. Escribe el nivel que corresponde.

El borrador de comunicación mezcla hechos con inferencias y con acciones que nadie ha hecho. Una escalada con evidencia dice solo lo que los registros sostienen, con su fuente, y deja aparte lo que no se sabe.

Responde para continuar

¿Cuál de las tres frases del borrador se sostiene con el expediente y puede quedarse?

La cuenta se usó desde un segundo origen de la VPN el 16 de noviembre y el puesto envió 1900 MB a un dominio nuevo el 17, sin confirmar con la usuaria Se desactivó la cuenta, se aisló el puesto y se borró la tarea, de modo que el incidente ya está contenido El atacante del grupo identificado robó 1900 MB de contratos y de la carpeta de dirección, y ya tiene todos esos datos en su poder para usarlos desde ahora

El procedimiento fija cómo se numera un incidente y el registro del día dice cuántos se han abierto. Con los dos se obtiene el número que lleva la escalada.

Responde para continuar

Escribe el número con el que debe abrirse este incidente, según el procedimiento y el registro de incidentes del día.

El cazador tiene la evidencia y las recomendaciones; la contención afecta a una persona, a su trabajo y a un sistema con dueño, y deja huella en la propia evidencia. La separación de funciones del procedimiento dice quién la decide.

Responde para continuar

¿Qué pide el cazador en la escalada respecto de la contención?

Que no se haga nada hasta que la usuaria confirme por escrito que no reconoce los accesos Que decida la contención con el dueño del sistema, con los indicadores del expediente Que aplique de inmediato el aislamiento del puesto y el bloqueo de la cuenta, porque ya los decidió el cazador

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 ¿Es un incidente?

2 La severidad que corresponde Lab

3 Lo que el escalamiento puede afirmar Lab

4 El número del caso Lab

5 Quién decide la contención Lab

Whoami-Labs Pro utiliza cookies