Escenario: una conexión larga con tres explicaciones posibles

2 tareas · 45 min · Principiante

0 de 2 · 0%

El equipo de caza detectó una sesión HTTPS de más de dos horas entre el host 10.0.10.45 y 198.51.100.89 con cierre limpio (SF). Existían tres hipótesis: 1) Descarga de copia de seguridad autorizada, 2) Canal de C2 persistente con balizamiento encubierto, o 3) Videoconferencia de un usuario. Al cruzar el uid con dns.log (dominio telemetry-cdn.xyz) y la huella JA3, se descartó la aplicación de videoconferencia corporativa y se confirmó un agente de persistencia no autorizado.

Responde para continuar

¿Qué combinación de telemetría permitió descartar la hipótesis de videoconferencia corporativa?

La duración superior a una hora de la llamada en horario de oficina de los usuarios El cierre normal de la sesión TCP mediante intercambio de paquetes FIN/ACK El cruce del dominio resuelto en dns.log y la huella JA3 en ssl.log que no correspondían a la aplicación autorizada El hecho de que la conexión utilizara el puerto 443 estándar de navegación web segura

Ver pista de ayuda

La combinación de resolución de dominio y huella de cliente TLS fue determinante.

Indica la dirección IP de destino (resp_h) de la conexión confirmada como sospechosa en el laboratorio.

Lección tras el caso {#leccion}

En el análisis de tráfico moderno, donde casi la totalidad de las comunicaciones legítimas y maliciosas viaja cifrada con TLS, los analizadores basados en firmas estáticas se vuelven ciegos ante ataques sofisticados. Herramientas como Zeek transforman el flujo de paquetes en un modelo relacional de registros transaccionales enriquecidos (conn, dns, ssl, files) interconectados por un identificador único (uid). El cazador defensivo domina la lectura de metadatos de sesión, huellas JA3/JA4 y semántica TCP para descubrir canales encubiertos sin violar la privacidad del cifrado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es la IP de destino (resp_h) de la conexión C9u8v7w6x5?

Ver pista de ayuda

Consulta la columna resp_h en la primera fila de zeek_conn.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Triaje de una sesión de 2 horas hacia un destino externo

2 Destino IP final de la conexión analizada Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies