Escenario: La exclusión demasiado generosa que ocultó la huella

4 tareas · 55 min · Principiante

0 de 4 · 0%

Audita el incidente INC-SYS-55 donde el malware operó sin ser detectado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál era la regla de exclusión activa que causó la ceguera?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Identifica el archivo malicioso que aprovechó la regla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué ejecutable malicioso se aprovechó de la exclusión para operar sin registrar evento ID 1?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Revisa el tiempo que duró la intrusión oculta.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál fue el efecto en el SIEM durante la operación del atacante?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Determina la solución de ingeniería aplicada.

Lección tras el caso {#leccion}

Sysmon es la herramienta de telemetría de endpoint más potente del ecosistema Windows, pero una sola regla de exclusión redactada con ligereza puede cegar al equipo por completo. Nunca se debe excluir por directorios donde los usuarios tienen permisos de escritura (como \Temp o \AppData) utilizando filtros de coincidencia parcial (contains). La optimización de volumen debe lograrse especificando rutas absolutas inmutables y firmas digitales verificadas, jamás abriendo autopistas de escape para el adversario.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál fue el dictamen de corrección para eliminar la brecha?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Caso: La exclusión demasiado generosa en Almacenes Tolima (INC-SYS-55)

Auditoría de Incidente Oculto por Regla Sysmon

Tablas

caso_tolima

regla_exclusion_activa
malware_ejecutado
efecto_en_siem
dictamen_correccion

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La regla defectuosa en Almacenes Tolima Lab

2 El malware ejecutado de forma invisible Lab

3 Efecto operativo en el SIEM Lab

4 Dictamen de corrección técnica Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies