Escenario: Dos consultas que parecen iguales y dan resultados distintos

4 tareas · 55 min · Principiante

0 de 4 · 0%

Audita el caso INC-QRY-44 donde una consulta defectuosa ocultó la intrusión.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas filas devolvió la consulta KQL al buscar la cuenta ADMINISTRATOR?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Identifica la causa del falso negativo en la búsqueda.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál fue el error semántico cometido en la sintaxis de KQL?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Compara con el motor que normalizó el texto.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas filas descubrió la consulta SQL normalizada con LOWER()?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Sintetiza la regla de oro para cazar en plataformas Microsoft.

Lección tras el caso {#leccion}

Los lenguajes de consulta no son simples traductores de texto; cada motor tiene reglas de indexación, tokenización y sensibilidad a mayúsculas particulares. En KQL, el operador == exige coincidencia exacta en mayúsculas mientras que =~ las ignora; en Splunk, los comodines dentro de campos no segmentados obligan a escaneos lentos. El cazador profesional no solo conoce la lógica de la hipótesis: domina las sutilezas de la sintaxis para que un detalle tipográfico no oculte la actividad del adversario.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué operador de igualdad de cadenas debe utilizar siempre un cazador en KQL para evitar falsos negativos por mayúsculas?

Evitar buscar nombres de usuario en la telemetría Utilizar siempre el operador =! sin comillas Utilizar el operador =~ (case-insensitive) o has_cs cuando se requiera distinción explícita

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Caso: Dos consultas que parecían idénticas y arrojaron resultados opuestos (INC-QRY-44)

Auditoría de Sintaxis KQL vs SQL

Tablas

caso_consultas

lenguaje
consulta_escrita
resultado_filas
error_semantico

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Resultado obtenido en KQL Lab

2 Error semántico en KQL Lab

3 Resultado de la misma lógica en SQL Lab

4 Directriz analítica para operadores de texto Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies