Qué llega al SIEM y qué se queda en el equipo

2 tareas · 40 min · Principiante

0 de 2 · 0%

Los agentes de reenvío (Auditbeat, Fluentbit, Vector) aplican reglas de filtrado y muestreo para evitar saturar el ancho de banda y la ingesta del SIEM. Como consecuencia, detalles granulares como argumentos de syscalls benignas, lecturas continuas de archivos temporales o volúmenes masivos de journald pueden retenerse localmente durante pocos días pero jamás transmitirse a la nube. Un cazador debe conocer estas brechas de visibilidad.

Responde para continuar

¿Cuál es el principal riesgo para la caza si un forwarder excluye localmente eventos de auditoría para ahorrar licencias de ingesta?

Ceguera ante actividades maliciosas que emplearon rutas o ejecutables excluidos de la transmisión remota Bloqueo inmediato del kernel de Linux por contrapresión en el socket de auditd Corrupción de los permisos del archivo /etc/sudoers durante la rotación del diario Incompatibilidad absoluta entre auditd y cualquier motor de visualización web

Ver pista de ayuda

Analiza las consecuencias de podar telemetría antes de enviarla a la plataforma central.

Consulta en la tabla audit_events el ejecutable registrado bajo la primera línea de la clave de identidad.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Indica la ruta completa del binario 'exe' correspondiente a passwd en la primera fila.

Ver pista de ayuda

Observa la columna 'exe' de la primera fila en audit_events.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría del Kernel de Linux · auditd y journald

auditd Daemon / journalctl Telemetry Engine

Tablas

audit_events

id
type
syscall
exe
comm
key
success
auid
uid

journal_auth

timestamp
unit
user
action
tty
status
host

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Filtrado en el agente forwarder frente a almacenamiento local

2 Verificación del comando ejecutado por passwd Lab

Whoami-Labs Pro utiliza cookies