Miércoles · los equipos

5 tareas · 50 min · Principiante

Miércoles 21 de octubre, 08:20. Ya sabes en qué servidores entró la cuenta y a qué hora. Ahora hay que mirar qué hizo dentro, con el detalle de procesos de los servidores y la auditoría de tareas, y contrastarlo con lo que TI tenía aprobado. Entre lo que ves hay una tarea nueva legítima y otra que nadie pidió. No hay paso a paso: separa lo observado de lo concluido y deja escrito el descarte.

0 de 5 · 0%

Objetivo de la sala

Una tarea programada nueva no es sospechosa por existir: TI las crea todos los meses. Lo que la delata es que no tiene detrás un cambio aprobado. Cruza las tareas creadas con los cambios aprobados por servidor, fecha y quien ejecuta.

Responde para continuar

Escribe el nombre de la tarea creada en la ventana de datos que no tiene ningún cambio aprobado detrás.

Ver pista de ayuda

Compara `tareas_creadas` con `cambios_aprobados`: servidor, fecha y cuenta que ejecuta.

Lo que repite una tarea es parte de su huella: una tarea que corre a intervalos cortos y regulares es la que más se parece a un latido, y es el dato que te llevará mañana a la red.

Responde para continuar

¿Cada cuántos minutos se ejecuta esa tarea? Escribe solo el número.

Ver pista de ayuda

Está en la auditoría de tareas y en la línea de comandos que la creó.

En el mismo servidor, la noche anterior, se creó otra tarea con la misma herramienta. Dos tareas nuevas en un servidor en dos días parecen un patrón hasta que se contrasta cada una con lo aprobado.

Responde para continuar

¿Qué se hace con la tarea RotarRegistrosWMS?

Se descarta: la creó TI, en su ventana y en el servidor del cambio CH-2210; se anota el cambio Se reporta junto a la otra, porque las dos se crearon con la misma herramienta en el mismo servidor Se deja como hallazgo secundario hasta que TI confirme por escrito que la creó, aunque coincidan fecha y cuenta

Ver pista de ayuda

Mira la cuenta, la hora, el servidor y la carpeta del ejecutable contra el cambio aprobado.

La cuenta que no encaja entró en dos servidores. No hizo lo mismo en los dos: en uno dejó una tarea, y en el otro no. Distinguirlo evita acusar de más.

Responde para continuar

Escribe el servidor donde esa cuenta solo listó recursos compartidos y no creó ninguna tarea.

Ver pista de ayuda

En `procesos_servidores`, mira qué ejecutó la cuenta en cada servidor y busca el que no tiene tarea creada.

La hoja de caza distingue lo que los datos dicen de lo que tú concluyes. La tabla administradores_locales además muestra algo sobre la cuenta que quizá explica cómo pudo crear la tarea; eso también es un dato, y no una acusación.

Responde para continuar

¿Cómo se registra el hallazgo de la tarea en la hoja de caza?

Solo el nombre de la tarea y el servidor, porque otra persona puede reconstruir el resto Lo observado aparte de lo concluido: tarea creada a las 02:17:03 por una cuenta de Compras, sin cambio aprobado y como SYSTEM; que sea maliciosa lo dirá la red Que el servidor de bodega está comprometido y hay que aislarlo ya, porque la tarea corre con el máximo privilegio del sistema y nadie la aprobó, así que no hace falta más prueba

Ver pista de ayuda

Hechos primero; la conclusión se acota a lo que la evidencia ya prueba.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La tarea que nadie pidió Lab

2 El ritmo de la tarea Lab

3 La tarea nueva que sí tenía permiso Lab

4 El servidor donde solo miró Lab

5 Cómo se escribe lo hallado Lab

Whoami-Labs Pro utiliza cookies