Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Verificar y cerrar

5 tareas · 45 min · Principiante

La contención se ejecutó entre las 14:20 y las 15:02 UTC y son las 17:30. Una contención no se declara buena porque la lista diga «hecha»: se declara buena cuando el registro posterior muestra que la puerta está cerrada. Tienes el estado de las diez acciones, lo que ocurrió después en los registros, las reglas de cierre de Tapiales y el catálogo de causas que el equipo identificó. Tu trabajo es decir si se puede cerrar y, si no, qué falta; y proponer la mejora que ataca la causa y no el síntoma.

0 de 5 · 0%

Objetivo de la sala

De las diez acciones ejecutadas, una sigue en estado pendiente. Es la que explica lo que ves en los accesos posteriores.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué acción de contención sigue pendiente?

Cuenta las lecturas de buzón permitidas que hizo la aplicación después de que terminó de ejecutarse la revocación de sesiones, a las 14:47 UTC. No cuentes los intentos denegados ni los inicios de sesión de personas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas lecturas de buzón permitió la aplicación consentida después de las 14:47 UTC?

Aplica la regla de cierre de Tapiales a lo que muestran las dos tablas: las acciones y los accesos posteriores. No decidas por el número de acciones hechas, decide por lo que el registro dice que sigue pasando.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

A las 17:30 UTC, ¿se puede cerrar el incidente?

No: la aplicación consentida sigue leyendo buzones, así que se ejecuta A-04 y el cierre espera 24 horas sin actividad Sí: las contraseñas y la clave están rotadas y los intentos del atacante aparecen denegados, así que no queda nada abierto No: hay que repetir toda la contención desde el principio, porque lo ya hecho no sirve si queda una acción pendiente Sí, y el consentimiento se deja como está hasta la revisión trimestral de aplicaciones, que es el momento de revisarlo

Cuando el incidente cierre habrá que proponer mejoras. La mejor no es la que bloquea el rango del atacante, que cambia mañana: es la que quita la causa por la que una persona dormida pudo abrirle la puerta a alguien con su contraseña.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué mejora ataca la causa de que la cuenta privilegiada cayera?

Pasar a los administradores a llaves de seguridad FIDO2 y retirar la aprobación con un toque como segundo factor Bloquear en el cortafuegos el rango del atacante, que es lo que cierra el caso para siempre Enviar más notificaciones de aprobación por hora, para que la persona note que algo raro pasa en la noche Obligar a cambiar la contraseña de los administradores cada 30 días y subir su longitud mínima a 20 caracteres, para frenar la adivinación

Ver pista de ayuda

Lee el registro de la madrugada: la contraseña no fue lo que falló.

El equipo dejó un catálogo de seis causas sin ordenar. Para el informe necesitas el identificador de la que explica que las notificaciones repetidas terminaran en un acceso.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué causa raíz del catálogo explica que las notificaciones repetidas acabaran en un acceso?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Verificación y cierre · Tapiales Distribuciones

Consulta de registros de identidad · solo lectura sobre evidencia ficticia

Tablas

reglas_del_cierre

regla
texto

acciones_ejecutadas

accion
descripcion
hora_utc
estado

accesos_posteriores

id
hora_utc
sujeto
origen
resultado
detalle

causas_raiz

causa
descripcion

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La que quedó pendiente Lab

2 Cuántas veces siguió leyendo Lab

3 ¿Se cierra? Lab

4 La mejora que ataca la causa Lab

5 La causa en el catálogo Lab

Whoami-Labs Pro utiliza cookies