Preservar evidencia durante la recolección

2 tareas · 40 min · Principiante

0 de 2 · 0%

Toda recolección en vivo modifica de forma inevitable el estado volátil del equipo: se consumen ciclos de CPU, se sobreescriben páginas de RAM y se generan registros de red. Velociraptor minimiza este impacto ejecutando consultas en memoria y calculando hashes SHA256 de los artefactos recolectados en el punto de extracción para garantizar la integridad de la cadena de custodia.

Responde para continuar

¿Cómo garantiza el agente de recolección que los archivos empaquetados no sufrieron alteraciones durante el transporte al servidor?

Calculando y registrando hashes criptográficos de cada elemento recolectado en el momento de su empaquetado Cambiando las contraseñas de todos los usuarios administradores del dominio durante el envío Solicitando la firma física de un notario público en cada paquete de red TCP transmitido Eliminando los archivos originales del disco duro inmediatamente después de leerlos

Ver pista de ayuda

La verificación criptográfica de integridad es el estándar forense.

Consulta en la tabla client_triage la cantidad de bytes cargados al servidor durante el triaje del portátil de recursos humanos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántos bytes (bytes_uploaded) se cargaron en el triaje de HR-LAPTOP-12?

Ver pista de ayuda

Fíjate en el valor numérico de bytes_uploaded en la fila de HR-LAPTOP-12.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Respuesta a Incidentes y Caza · Velociraptor VQL

Velociraptor Artifact Collection Engine (VQL)

Tablas

hunt_results

hunt_id
client_id
artifact_name
item_path
sha256
status

client_triage

client_id
hostname
os_version
collection_time
bytes_uploaded

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Cadena de custodia y minimización del impacto en el endpoint

2 Bytes transmitidos en la recolección de HR-LAPTOP-12 Lab

Whoami-Labs Pro utiliza cookies