Escenario: Reconstruir una sesión a partir de cuatro registros

4 tareas · 55 min · Principiante

0 de 4 · 0%

Audita la intrusión en Editorial Nariño (INC-EVT-82) uniendo los cuatro eventos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué acción se reconstruyó a partir del evento 4624 (Logon Type 3) a las 02:10:00 UTC?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Revisa el segundo evento registrado cinco segundos después.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué evento confirmó la asignación de privilegios de depuración (SeDebugPrivilege)?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Identifica la ejecución generada por PsExec.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué acción se reconstruyó en el evento 4688 a las 02:10:12 UTC?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Determina la acción final registrada en el evento 4104.

Lección tras el caso {#leccion}

En el análisis forense y la caza de amenazas en Windows, ningún registro aislado cuenta la historia completa: el Event ID 4624 muestra la puerta por la que entraron, el 4672 los permisos adquiridos, el 4688 el proceso lanzado y el 4104 de PowerShell el código exacto ejecutado. Dominar la articulación de estos cuatro eventos permite reconstruir la narrativa indiscutible de un compromiso y sustentar la respuesta ante cualquier comité técnico o judicial.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál fue la acción maliciosa reconstruida en el canal PowerShell/Operational?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría de caza.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Caso: Reconstruir una sesión a partir de cuatro registros en Editorial Nariño (INC-EVT-82)

Reconstrucción Cronológica Multievento

Tablas

reconstruccion_narino

orden_tiempo
event_id
canal_log
accion_reconstruida

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Paso 1: Autenticación inicial de red Lab

2 Paso 2: Asignación de privilegios especiales Lab

3 Paso 3: Creación de proceso remoto Lab

4 Paso 4: Ejecución del script en PowerShell Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies