Escenario: una cronología con fuentes en tres husos horarios

2 tareas · 45 min · Principiante

0 de 2 · 0%

El equipo de caza reconstruyó un incidente que parecía inconexo debido a registros en tres husos horarios distintos: 1) A las 02:00:00 UTC, un atacante forzó una fatiga de MFA para la cuenta [email protected] desde Rumanía (IP-EXT-99.10), 2) A las 02:05:12 UTC, creó una máquina virtual persistente en AWS us-east-1, y 3) A las 02:15:45 UTC, lanzó un RDP desde esa máquina virtual hacia el Controlador de Dominio interno. La unificación a UTC reveló el salto completo entre identidad, nube y endpoint en solo 15 minutos.

Responde para continuar

¿Cuál fue la secuencia completa del ataque demostrada por la unificación de la cronología híbrida?

Compromiso de identidad por fatiga MFA -> creación de VM persistente en la nube -> salto interactivo por RDP hacia el DC local Infección de virus por memoria USB -> envío de correos masivos -> compra de dominios web Fallo del cableado eléctrico en el centro de datos -> activación de generadores de gasóleo Ataque DDoS contra el sitio web público -> reinicio de servidores de base de datos -> cambio de claves de red Wi-Fi

Ver pista de ayuda

Identidad (MFA fatigue) -> Nube (VM persistente) -> Endpoint (RDP al DC).

Indica el valor de source_location registrado para el evento HYB-01-ID en la tabla.

Lección tras el caso {#leccion}

En las infraestructuras modernas, los límites tradicionales entre la red corporativa física y la nube se han disuelto: los adversarios operan de forma fluida a través de la identidad, la infraestructura en la nube y los endpoints locales. Investigar un incidente híbrido exige derribar los silos de información entre equipos y herramientas. El cazador defensivo domina la normalización matemática rigurosa en UTC para no perderse entre husos horarios dispares y sabe enlazar el compromiso inicial de identidad (fatiga MFA) con las llamadas de administración en la nube (CloudTrail) y el posterior movimiento lateral hacia el Active Directory local, proponiendo siempre medidas de endurecimiento definitivas como MFA FIDO2 y accesos Just-in-Time.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué source_location figura en el primer evento de la cronología?

Ver pista de ayuda

Observa el valor en la columna source_location de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Caza Híbrida · Correlación Endpoint, Identidad y Nube

Hybrid Multi-Cloud & Endpoint Identity Correlation Engine

Tablas

hybrid_timeline_events

event_id
source_plane
timestamp_utc
user_identity
action_taken
source_location
verdict

hardening_recommendations

rec_id
target_layer
remediation_control
priority_level
status

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Reconstrucción del ataque multidimensional que cruzó la nube

2 Ubicación geográfica de origen del ataque de identidad Lab

Lección tras el caso {#leccion}

Whoami-Labs Pro utiliza cookies