Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

El informe y lo que pide detectar

5 tareas · 45 min · Principiante

Simulacro. Lunes 12 de octubre de 2026, 09:00, Cerámicas Guarnizo: una fábrica con 400 equipos Windows y dos analistas de turno. Tú eres la única persona de ingeniería de detección. Acaba de llegar el aviso sectorial de la semana, una campaña de correo con asuntos de factura de flete descrita como conductas y no solo como direcciones. La jefatura quiere saber qué de eso puede ver la casa y recibir, el viernes 30 de octubre, un paquete de reglas probadas. Esta sala es solo el principio: leer el aviso con criterio y volverlo hipótesis. Tienes el encargo, el aviso, la nota de otro miembro del sector y la búsqueda retrospectiva en los registros propios. Nadie te dice qué importa.

0 de 5 · 0%

Objetivo de la sala

Un aviso sectorial no pone todas sus frases al mismo nivel: cada conducta lleva la confianza que el centro le da y cuántos miembros la vieron. Eso decide cuánto trabajo merece cada una antes de escribir nada, y cuál conviene dejar escrita sin convertirla en regla todavía.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe el identificador de la conducta que el aviso da con confianza baja.

Ver pista de ayuda

La confianza está en una columna de la tabla de conductas del aviso. Solo una de las ocho dice baja.

Un indicador es lo que más rápido se busca hacia atrás y lo que más rápido caduca. Antes de escribir una regla, la búsqueda retrospectiva dice si la campaña ya tocó la casa, y el resultado cambia el orden de todo lo demás: lo que ya pasó es de incidentes, lo que puede volver a pasar es tuyo.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe el nombre del equipo desde el que se vio la conexión a la dirección IP de mando del aviso.

Ver pista de ayuda

En la búsqueda retrospectiva, localiza la fila de la dirección IP; el equipo aparece en su resultado.

El aviso trae tres indicadores, y una regla escrita sobre un indicador envejece con él. La conducta, en cambio, es lo que al adversario le cuesta más cambiar. Eso no vuelve inútiles los indicadores: les da otro trabajo.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué haces con los tres indicadores del aviso?

Los cargas como una regla permanente de alerta, porque el centro los publicó y el adversario va a volver a usarlos tal cual en las próximas semanas Los ignoras, porque un aviso con un nivel de intercambio restringido solo sirve de lectura y no se puede aplicar a los registros propios Los usas para la búsqueda hacia atrás y los dejas en una lista con fecha de caducidad, mientras las reglas se escriben sobre la conducta

Ver pista de ayuda

La nota del otro miembro cuenta qué pasó con uno de los dominios en cuestión de días. Pregúntate qué cambia el adversario con más facilidad, una dirección o lo que hace.

El aviso dice cuándo se vio por primera vez el dominio de mando; la nota de un miembro dice otra cosa, cuándo se registró. Las dos fechas valen para cosas distintas: una acota hasta dónde mirar hacia atrás y la otra dice desde cuándo existía el dominio. Leer una por la otra es un error frecuente.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe la fecha en la que se registró el dominio de mando, en formato AAAA-MM-DD.

Formato esperado: ____-__-__

Ver pista de ayuda

Está en la nota del otro miembro, no en el aviso. El aviso trae otra fecha, la de la primera observación.

Antes de pedir datos hay que escribir la hipótesis con la forma «si pasa esto, veremos esto otro en este sitio»: qué conducta, qué rastro y en qué fuente. Una hipótesis no nombra a un grupo ni pide ver todo; si no se puede comprobar con un evento concreto, todavía no es una hipótesis.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál de estas frases es una hipótesis que se puede convertir en regla?

Si la campaña es obra del mismo grupo de siempre, la regla debe alertar con cualquier indicador que ese grupo publique, aunque la fuente no se reciba Alertar cada vez que aparezca PowerShell en cualquier equipo de la fábrica, a cualquier hora y con cualquier argumento, porque es lo que menciona el aviso y ya se afinará el ruido después, cuando llegue Si alguien abre desde el explorador el acceso directo llegado por correo, veremos en la creación de procesos un PowerShell con un comando codificado y al explorador como proceso padre

Ver pista de ayuda

Busca la frase que dice qué conducta, qué rastro y en qué fuente, sin nombrar a nadie y sin pedir ver todo.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: estacion-deteccion.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Cuánto se fía el aviso de cada conducta Lab

2 Lo que ya está dentro Lab

3 Qué se hace con los indicadores Lab

4 El dato que el aviso no trae Lab

5 La hipótesis bien escrita Lab

Whoami-Labs Pro utiliza cookies