Interpretar resultados de miles de equipos

2 tareas · 40 min · Principiante

0 de 2 · 0%

Al lanzar una consulta distribuida en una flota de 50.000 endpoints, la respuesta bruta puede inundar los servidores de gestión (Fleet, Kolide, osquery-fleet). La interpretación requiere filtrar versiones legítimas de software, identificar equipos desactualizados y agrupar por campos clave (GROUP BY md5, path HAVING count(*) < 5) para separar la norma corporativa de la anomalía genuina.

Responde para continuar

Al recibir 49.990 respuestas idénticas y 10 respuestas discordantes en una consulta de servicios del sistema, ¿qué enfoque analítico es el correcto?

Priorizar el análisis forense profundo de las 10 discordancias aplicando análisis de contexto y linaje Reiniciar inmediatamente los 49.990 equipos para sincronizarlos con las 10 excepciones observadas Descartar las 10 respuestas discordantes por considerarlas errores estadísticos de muestreo de red Generar 50.000 tickets individuales en la mesa de ayuda sin realizar agregación de datos

Ver pista de ayuda

En cacería de amenazas, la minoría estadística dentro de una flota homogénea es el objetivo primario.

Revisa nuevamente el comando curl en la tabla osquery_crontab e identifica el nombre del archivo descargado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo se llama el script descargado por curl en la tarea anómala de crontab?

Ver pista de ayuda

Fíjate en el final de la URL en el comando ejecutado.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Telemetría de Flota · osquery Fleet Manager

osquery Distributed Query Engine (SQLite Virtual Tables)

Tablas

osquery_crontab

host_identifier
name
command
path

osquery_processes

host_identifier
pid
name
path
cmdline
resident_size

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Agregación distribuida y deduplicación a gran escala

2 Nombre del archivo de script invocado por el cron malicioso Lab

Whoami-Labs Pro utiliza cookies