Muestreo y su efecto en la caza

2 tareas · 40 min · Principiante

0 de 2 · 0%

En enlaces de alta velocidad (10G/40G/100G), los enrutadores aplican muestreo estadístico (por ejemplo 1:1000, registrando 1 de cada 1000 paquetes) para no colapsar la CPU del conmutador. En cacerías de amenazas, el muestreo es un arma de doble filo: detecta perfectamente flujos masivos de exfiltración o ataques DDoS, pero vuelve completamente invisibles balizas breves de C2 o escaneos lentos de puertos.

Responde para continuar

¿Cuál es la consecuencia directa del muestreo estadístico 1:1000 en NetFlow para la detección de balizamiento de C2 ligero?

El enrutador bloquea el tráfico de las aplicaciones que transmiten paquetes pequeños La velocidad de transmisión en el enlace se reduce de forma permanente a un megabit por segundo Los paquetes de balizamiento breves pueden ser completamente ignorados y no aparecer en los registros exportados Los registros de flujo se duplican artificialmente generando falsas alarmas de exfiltración continua

Ver pista de ayuda

Si solo se evalúa 1 de cada 1000 paquetes, las comunicaciones diminutas caen entre las grietas del muestreo.

Comprueba el valor de la columna sampling_rate en la tabla netflow_records para el flujo FLW-9011.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué tasa de muestreo (sampling_rate) figura en la primera fila de netflow_records?

Ver pista de ayuda

Observa el valor en la columna sampling_rate en netflow_records.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Flujos y Capturas · NetFlow & IPFIX Analyzer

NetFlow v9 / IPFIX Telemetry Collector Engine

Tablas

netflow_records

flow_id
src_ip
src_port
dst_ip
dst_port
protocol
packets
bytes
tcp_flags
sampling_rate

conversation_stats

pair_key
total_bytes
packet_ratio
duration_sec
classification

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Muestreo estadístico (Sampled NetFlow) y pérdida de eventos raros

2 Tasa de muestreo configurada en los flujos del panel Lab

Whoami-Labs Pro utiliza cookies