Escenario: Caza de un día en un tenant ficticio

4 tareas · 55 min · Principiante

0 de 4 · 0%

Audita el caso INC-TENANT-99 en Seguros Horizonte.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué medida de contención inmediata se tomó tras confirmar el Token Replay en SigninLogs?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Revisa cómo se neutralizó el reenvío malicioso.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué acción de contención se ejecutó sobre la regla de buzón en Exchange Online?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Identifica la acción de aislamiento del endpoint.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo se contuvo el servidor SRV-CORREO-01 tras detectar certutil?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Sintetiza la ventaja del lenguaje KQL para investigar tenants.

Lección tras el caso {#leccion}

En entornos corporativos basados en Microsoft 365 y Azure, una intrusión rara vez se limita a una sola máquina: arranca con el robo de una sesión de identidad en Entra ID, persiste mediante reglas ocultas en Exchange Online y salta a la infraestructura perimetral. Dominar KQL y conocer el mapa de tablas (SigninLogs, CloudAppEvents, DeviceProcessEvents) permite al cazador tejer la cronología completa de la cadena de ataque y expulsar al adversario de todos los planos de la organización.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es la principal fortaleza de cazar en Sentinel y Defender con KQL?

Que Microsoft resuelve los incidentes automáticamente sin analistas Que KQL no requiere escribir código ni operadores La capacidad de correlacionar en una sola consulta identidades de Entra ID, correos de M365 y procesos en endpoints Windows y Linux

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Caso: Caza de un día en el tenant de Seguros Horizonte (INC-TENANT-99)

Resolución de Intrusión Multietapa en M365

Tablas

caso_horizonte

etapa_ataque
tabla_reveladora
hallazgo_clave
medida_contencion

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Medida de contención en acceso inicial Lab

2 Medida de contención en persistencia Lab

3 Contención en el servidor web Lab

4 Visión integral en Microsoft XDR Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies