Escenario — el proxy que dejó de registrar el agente de usuario

5 tareas · 52 min · Principiante

Escenario del módulo. Lunes 2 de noviembre de 2026, Fundación Horizonte Austral. Otra organización, otras fuentes y otros números: nada de lo que viste en Distribuidora Tres Ríos resuelve esto por sí solo. Eres la persona de ingeniería de detección. En la revisión mensual, la directora de seguridad nota que una regla del proxy lleva semanas sin alertar y pregunta si es buena señal o mala. Tienes el registro de cambios, el volumen diario del SIEM, las reglas, el inventario y una hora del proxy y del resolvedor. No hay paso a paso: mide, cruza y di qué se puede afirmar y qué hay que pedir.

0 de 5 · 0%

Objetivo de la sala

La directora quiere saber desde qué día la regla que depende del agente de usuario no puede ver nada. Mira cuántos eventos del proxy traen ese campo y cuándo pasó a cero.

Responde para continuar

Escribe la fecha del primer día sin ningún evento con agente de usuario.

Sin agente de usuario, la regla ya no sirve, pero el proxy sigue escribiendo el destino, el método, la categoría y los bytes, y eso permite buscar un patrón. Hay un equipo que envía datos al mismo destino sin categoría con método POST a intervalos regulares, y otro que consulta a un destino de software aprobado con método GET. Cruza el proxy con el inventario.

Responde para continuar

Escribe el equipo que envía con POST, a intervalos regulares, a un destino sin categoría.

Un ritmo exacto suele marcarlo un programa y no una persona. Es un dato para preguntar, no una acusación: el equipo puede tener una aplicación de sincronización legítima que nadie inventarió. Mide el intervalo entre dos peticiones consecutivas de ese equipo.

Responde para continuar

Escribe el intervalo en segundos entre las peticiones de ese equipo.

Tienes un hueco de visibilidad con fecha y un patrón visible por otros campos. Tienes también lo que no hay: el agente de usuario de esas peticiones, el programa que las hizo y el contenido de lo enviado.

Responde para continuar

¿Qué redacción del informe se sostiene con estos registros?

Una intrusión comenzó el 12 de octubre en el equipo de recaudo y ya hay que dar por perdidos los datos de sus archivos y de toda su carpeta Desde el 12 de octubre el campo no llega y la regla no ve; un equipo envía a ritmo fijo a un destino sin categoría; su programa y su contenido no se ven La regla no alerta porque ya no hay actividad sospechosa en el proxy desde que se actualizó el servicio

La regla sola no alerta; ahora se sabe por qué. Una petición que solo apague la regla o espere a que alguien recuerde revisarla dejaría el mismo hueco abierto en la siguiente actualización. Hay una causa en la plantilla, un hueco de semanas y una regla que depende de un solo campo.

Responde para continuar

¿Qué acompaña a la conclusión?

Esperar al próximo ciclo de revisión mensual para comprobar si el campo vuelve por sí solo al proxy Retirar la regla del catálogo, porque lleva más de tres semanas sin alertar y ya no aporta nada Restaurar el campo, alertar si deja de llegar y revisar con otras fuentes las semanas sin cobertura

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Desde cuándo Lab

2 Lo que sigue visible Lab

3 El ritmo Lab

4 Lo que se afirma

5 Lo que se pide

Whoami-Labs Pro utiliza cookies