Plan de datos y consultas

2 tareas · 40 min · Principiante

0 de 2 · 0%

Antes de ejecutar consultas masivas en el SIEM o Data Lake, el cazador define los campos clave (CommandLine, ParentImage, ProcessId), las condiciones de inclusión (comandos con -EncodedCommand o -enc) y los filtros de exclusión para descartar automatizaciones conocidas de despliegues internos de TI.

Responde para continuar

¿Qué elemento previene que una consulta de caza sature de falsos positivos al analista?

Buscar únicamente palabras de una sola letra en los registros de texto Exclusiones precisas de scripts legítimos documentados de la administración de sistemas corporativa Eliminar los límites de tiempo de la consulta para buscar en todo el historial histórico Ejecutar la consulta exclusivamente desde un teléfono móvil personal

Ver pista de ayuda

Filtros de exclusión basados en la línea base benigna de TI.

Consulta en hunt_execution_telemetry el identificador de la hipótesis (hypothesis_id) ejecutada.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el hypothesis_id reportado en hunt_execution_telemetry?

Ver pista de ayuda

Observa el valor en la columna hypothesis_id de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Caza Guiada por Inteligencia de Amenazas (CTI)

Threat Intel Driven Hunt Analyzer & IoC Telemetry Correlator

Tablas

cti_campaign_intel

threat_actor
target_vertical
ttp_code
ttp_name
reported_confidence
source_report

hunt_execution_telemetry

hunt_id
hypothesis_id
evidence_source
hits_found
confidence_assessed
deliverable_rule

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Diseño quirúrgico de consultas de caza

2 Identificador de la hipótesis en la ejecución Lab

Whoami-Labs Pro utiliza cookies