El DNS, contado

5 tareas · 40 min · Principiante

Ya sabes que un túnel por DNS deforma los nombres. Aquí lo lees como lo lee el SIEM: por dominio padre, con cuántas consultas hizo, cuántos subdominios distintos, qué longitud tenían y cuántos equipos lo preguntaron. Seis horas de madrugada de Textiles Quebrada Honda tienen cinco dominios, y dos de ellos tienen casi todos los nombres distintos. Uno es un candidato y el otro es el servidor de correo haciendo su trabajo: los números solos no los separan, el conjunto sí.

0 de 5 · 0%

Objetivo de la sala

Abre SELECT * FROM dominios. Por cada dominio padre el SIEM resume cuatro cosas que, juntas, describen la forma del tráfico:

Proporción de nombres únicos: subdominios distintos entre consultas. Una web normal repite pocos nombres muchas veces; un canal que mete datos en el nombre casi nunca repite.
Longitud media del subdominio: los nombres con datos son más largos que los nombres de servicio.
Abanico (equipos): un túnel lo usa el puesto comprometido, no la empresa entera.
Tipo de registro: los que admiten más texto (como TXT) resultan más cómodos para llevar datos que los de direcciones.

Ninguno acusa por sí solo. La sospecha crece cuando coinciden, y para decidir se mira la muestra de nombres.

Responde para continuar

¿Qué combinación convierte un dominio en candidato a túnel y no en una simple web con muchos nombres?

Casi todos los nombres únicos, subdominios largos, un solo equipo que lo pregunta y un registro de texto Un solo nombre consultado con regularidad desde todos los equipos de la empresa a la vez Muchas consultas desde muchos equipos a nombres cortos y repetidos, la forma de un servicio de contenidos

Ver pista de ayuda

Piensa en cuál de las cuatro medidas apunta a «datos en el nombre» y cuál apunta a «servicio de todos».

Aplica los cuatro criterios a SELECT * FROM dominios. Entre los cinco dominios hay uno con casi todos los nombres únicos, subdominios largos, un solo equipo y registro de texto como más frecuente. Hay otro con muchos nombres únicos, pero con otro perfil: no encaja en los cuatro a la vez.

Tu respuesta es el candidato, no una conclusión: todavía falta ver los nombres y quién los pregunta.

Responde para continuar

¿Qué dominio padre cumple los cuatro criterios a la vez: nombres casi todos únicos, subdominios largos, un solo equipo y registro de texto?

Ver pista de ayuda

Descarta primero los que los preguntan decenas de equipos; entre los dos que quedan, mira cuántos equipos y qué registro.

Con el candidato, calcula la proporción de nombres únicos: subdominios distintos entre consultas totales, por cien. Es la medida que lo separa de un dominio normal. Para comparar, el servicio de contenidos de este listado tiene un 2 % de únicos.

El número va al ticket junto con la longitud media y el abanico: las tres cifras describen la forma sin que nadie tenga que abrir un registro.

Responde para continuar

¿Qué porcentaje de las consultas del dominio candidato son nombres únicos? Redondea a un entero.

Ver pista de ayuda

subdominios_unicos entre consultas, en la fila del candidato de `SELECT * FROM dominios`.

El segundo dominio con casi todos los nombres únicos es la lista de reputación que consultan los servidores de correo: cada correo entrante hace una consulta con la dirección del remitente al revés, y cada remitente es distinto. Mira SELECT * FROM muestra y SELECT * FROM por_equipo.

La diferencia está en el conjunto: el abanico son los dos servidores de correo, el registro es de direcciones, y los nombres, tres números por etiqueta, tienen estructura. Un filtro por «nombres únicos» solo, sin abanico y sin muestra, lo marcaría. Con ellos, es ruido conocido que se documenta.

Responde para continuar

¿Qué hace legítima la lista de reputación, aunque casi todos sus nombres sean únicos?

Que sus nombres son más largos que los del candidato y eso siempre indica tráfico de servicio de la empresa Que tiene menos consultas que el candidato, lo que lo hace menos grave por definición Que la preguntan dos servidores de correo, con registro de direcciones y nombres con forma de dirección

Ver pista de ayuda

Compara en `muestra` y `por_equipo` los nombres, los equipos y el patrón de la etiqueta.

El candidato lo pregunta un solo equipo. Con SELECT * FROM por_equipo sale el nombre, y con él se pide a quien administra el puesto el contexto: qué programas tiene y qué hacía a esa hora. Es lo que se escala, no el dominio en abstracto.

Los dominios de este módulo no son registrables y la lectura es solo de datos escritos: no se consulta nada del dominio ni se visita.

Responde para continuar

¿Qué equipo hace todas las consultas al dominio candidato?

Ver pista de ayuda

En `SELECT * FROM por_equipo`, la fila del dominio que identificaste.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cuatro números por dominio Lab

2 El candidato Lab

3 La proporción de únicos Lab

4 El que tiene muchos nombres y es legítimo Lab

5 Quién pregunta Lab

Whoami-Labs Pro utiliza cookies