Cruce TI-OT

5 tareas · 38 min · Principiante

Casi toda historia que llega a una planta empieza en la oficina o en un acceso remoto de un proveedor, y el sensor de planta solo ve direcciones, no personas. Cruzar TI con OT es unir tres registros: la pasarela de acceso remoto (quién entró y cuándo), el equipo de salto (desde qué dirección actúa) y el sensor (qué orden viajó). En Servicios Retamal sigues una escritura hasta una cuenta, mides el tiempo entre una cosa y otra y compruebas qué relojes son fiables. Es lectura de registros ficticios, sin tocar ningún equipo.

0 de 5 · 0%

Objetivo de la sala

El sensor de planta ve una dirección IP: la del equipo de salto por el que entran los proveedores. Muchas cuentas comparten esa misma dirección, así que la IP sola no dice quién fue. La llave que sirve es la pareja de la dirección del salto y la hora: qué cuenta tenía una sesión abierta en ese equipo cuando la orden pasó por el sensor.

Responde para continuar

Varias cuentas de proveedor usan el mismo equipo de salto. ¿Con qué se une la orden vista por el sensor a una cuenta?

Con la IP del equipo de salto, porque identifica por sí sola a una persona Con la hora de la orden y las sesiones que la pasarela de acceso muestra abiertas en ese equipo Con el puerto de destino de la orden, porque cada proveedor usa siempre un puerto industrial distinto del resto

Abre ot_escrituras y toma la escritura que viene del equipo de salto. Luego mira acceso_proveedores: la cuenta cuya sesión estaba abierta a esa hora es la que corresponde. Una sesión que ya se cerró antes no cuenta.

Responde para continuar

Escribe la cuenta de proveedor con sesión abierta cuando se vio la escritura desde el equipo de salto.

Ver pista de ayuda

Ubica la hora de la escritura y busca qué cuenta inició sesión antes y todavía no la había cerrado.

El intervalo entre el inicio de sesión y la escritura es un dato de la investigación: una escritura a los pocos segundos de entrar sugiere un guion; una a las horas, un trabajo normal. Calcula los segundos que pasaron entre el inicio de sesión de esa cuenta en la pasarela y la escritura vista por el sensor.

Responde para continuar

Escribe los segundos entre el inicio de sesión de la cuenta y la escritura.

Ver pista de ayuda

Resta las dos horas y pasa el resultado a segundos. Ambas son del mismo día.

Cruzar por hora solo vale si los relojes coinciden. Una fuente adelantada o atrasada varios minutos corre los eventos y puede hacer que una sesión parezca abierta cuando no lo estaba. Antes de afirmar el cruce se mira el desfase de cada fuente. Abre relojes y busca la fuente que no sirve para cruzar por hora sin corregir.

Responde para continuar

Escribe la fuente con el reloj desfasado.

Ver pista de ayuda

Mira `desfase_segundos` en `relojes`: las demás fuentes están a pocos segundos de la hora real.

La evidencia dice que la cuenta tenía la sesión abierta y que la escritura salió de su equipo de salto. No dice que la persona la ordenara con mala intención ni que el cambio fuera dañino: puede ser un trabajo sin orden registrada. La orden de trabajo del proveedor es el dato que falta. Abre ordenes_de_trabajo.

Responde para continuar

¿Cómo se redacta el hallazgo para operaciones?

Un proveedor modificó la bomba sin autorización y hay que suspender su cuenta mientras se investiga la intención Una escritura salió de la cuenta de un proveedor sin orden registrada; falta confirmarla con operaciones La escritura fue normal porque ocurrió dentro de una sesión legítima de un proveedor

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La llave del cruce

2 De la orden a la cuenta Lab

3 Cuánto pasó desde que entró Lab

4 Qué reloj no es de fiar Lab

5 Cómo se redacta lo que se sabe

Whoami-Labs Pro utiliza cookies