Escenario — lo que el tráfico cifrado sí cuenta

5 tareas · 50 min · Principiante

Escenario del módulo. Lunes 26 de octubre de 2026, Aseguradora Faro del Sur. Otra organización, otro sensor y otros números: nada de lo que viste en Cerámicas Río Hondo resuelve esto por sí solo. Eres la persona de ingeniería de detección. El responsable de seguridad dice que casi todo el tráfico de la aseguradora va cifrado y que entonces el sensor de Zeek «no ve nada». Antes del comité del jueves quiere saber qué cuenta de verdad la noche del 24 al 25 de octubre. Tienes la política, el inventario y los registros de conexiones, TLS y DNS de esa noche. No hay paso a paso: mide, cruza y di qué se puede afirmar y qué no.

0 de 5 · 0%

Objetivo de la sala

La política fija un umbral de revisión para el volumen enviado a destinos que no son servicios aprobados. Cruza las conexiones de la noche con los nombres de servidor y con la política, y descarta lo que la aseguradora ya aprobó. Escribe el volumen en megabytes con la conversión de la política.

Responde para continuar

Escribe cuántos MB envió, en total, el equipo que superó el umbral hacia un destino no aprobado.

Aunque el contenido va cifrado, el equipo del hallazgo anterior dijo a quién quería hablar, y la consulta de nombres lo confirma con la dirección que recibió.

Responde para continuar

Escribe el nombre de servidor que pidió ese equipo en sus tres conexiones de la noche.

Una de las conexiones usa una versión de TLS que deja ver el certificado del servidor. Compara el nombre que pidió el cliente con el sujeto del certificado que presentó el servidor.

Responde para continuar

Escribe el nombre del equipo cuya conexión recibió un certificado que no corresponde al nombre pedido.

Tienes los hallazgos: un envío sostenido, por encima del umbral, a un servicio no aprobado y un certificado que no corresponde al nombre. Tienes también lo que no hay: ninguna copia del contenido, ni el archivo, ni el motivo, ni la persona que lo hizo.

Responde para continuar

¿Qué redacción de la conclusión se sostiene con estos registros?

El tráfico cifrado impide cualquier detección, de modo que el sensor no aporta evidencia útil Un equipo envió por encima del umbral, cifrado, a un servicio no aprobado; el contenido no se ve aquí Un perito sacó expedientes de clientes hacia un almacén externo y hay que sancionarlo de inmediato, antes del comité

El responsable pregunta qué hacer con el sensor, dado que casi todo va cifrado. Ya viste lo que sí cuenta: volumen, destino, nombre de servidor y, en TLS 1.2, el certificado. Y lo que no: el contenido, la ruta y el archivo.

Responde para continuar

¿Qué petición acompaña la conclusión?

Mantener el sensor, validar el hallazgo con la fuente del equipo y agregar una alerta de volumen Retirar el sensor de red hasta que se pueda descifrar todo el tráfico de la aseguradora Esperar al siguiente incidente para comprobar si el volumen nocturno vuelve a superar el umbral fijado

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo enviado a un servicio no aprobado Lab

2 El nombre que pidió Lab

3 El certificado que no corresponde Lab

4 Lo que afirma el informe

5 Lo que le pides al comité

Whoami-Labs Pro utiliza cookies