Escenario — los números de una caza en Cumbre Austral

5 tareas · 55 min · Principiante

Escenario del módulo. Lunes 30 de noviembre, 08:00. Embotelladora Cumbre Austral, una planta de bebidas con oficinas administrativas, no es Siderúrgica Piedrablanca: otra red, otros equipos y otras cifras. El jefe de seguridad quiere saber, antes del comité de las diez, si la semana que acaba tiene algo que merezca una investigación y con qué método lo sabes. Tienes cuatro tablas exportadas: las consultas de nombres del día, la salida diaria de un servidor de archivos, los archivos a los que accedió cada cuenta y las conexiones de dos equipos en la noche del 25. No hay paso a paso: calcula, cruza con el contexto y decide con lo que dicen los datos.

0 de 5 · 0%

Objetivo de la sala

La regla de entropía de la embotelladora marca las etiquetas con más de 3.5 bits por carácter. Esa regla marcó hoy a varios dominios, y entre los que dejó pasar hay uno que sí cumple las tres señales de contexto escritas en los parámetros.

Responde para continuar

Escribe la etiqueta del dominio que la regla de entropía no marcó y que cumple las tres señales de contexto.

El servidor de archivos envió en catorce días un volumen que parece normal salvo por un día. Para decidir con la regla robusta si ese día es atípico hace falta la mediana de la serie y su MAD.

Responde para continuar

Escribe el MAD de la serie de mb_salida de catorce días.

Formato esperado: __

Hay tres grupos de cuentas por rol, y uno de ellos tiene volúmenes de acceso muy superiores a los demás sin que eso sea raro en su oficio. La regla de pares compara cada cuenta con las de su mismo rol.

Responde para continuar

Escribe la cuenta cuya puntuación modificada supera el umbral dentro de su grupo de pares.

Un equipo se conectó en la noche del 25 al dominio que marcaste en la primera tarea. La tabla de conexiones también trae las de otro equipo hacia un destino legítimo, que no te interesa para este cálculo.

Responde para continuar

Escribe la mediana, en segundos, de los intervalos entre conexiones consecutivas de ese equipo hacia el dominio de la tarea 1.

Formato esperado: ___

El jefe de seguridad pregunta si hay un intruso. Tienes un dominio de baja entropía con las tres señales, un equipo con un ritmo de reloj hacia él, una cuenta atípica entre sus pares y un día de salida muy alto en el servidor de archivos. Ninguno de los cuatro ha pasado por una confirmación con el dueño del sistema ni con el proceso que abrió las conexiones.

Responde para continuar

¿Qué le contestas al jefe de seguridad?

Que no hay nada que decir mientras ninguna regla del SIEM haya disparado una alerta Que hay un intruso confirmado, porque cuatro señales independientes apuntan a lo mismo y ninguna regla las contradice hoy Que hay cuatro pistas con método documentado, y que la confirmación depende de comprobar proceso, dueño y autorización

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El dominio que la regla no vio Lab

2 Cuánto se dispersa la salida del servidor Lab

3 La cuenta que se aparta de sus pares Lab

4 El ritmo del equipo que habla con ese dominio Lab

5 Lo que se le dice al comité Lab

Whoami-Labs Pro utiliza cookies