Falsos positivos de infraestructura compartida

5 tareas · 40 min · Principiante

Una dirección que alguna vez sirvió a algo hostil puede ser, hoy, la de una red de entrega de contenidos que atiende a cientos de sitios legítimos. Coincidir con ella no significa nada por sí solo. En el Hospital Santa Elvira hay cinco indicadores con sus coincidencias de 90 días, el tipo de infraestructura detrás de cada uno y una lista de permitidos. Separas qué indicador produce ruido, calculas cuánto, y revisas si las excepciones están bien acotadas.

0 de 5 · 0%

Objetivo de la sala

En una infraestructura compartida, una misma dirección sirve a muchos dominios de clientes distintos: una red de entrega de contenidos, un servicio de correo masivo o un rango de una nube pública. Si un cliente la usó para algo hostil, el indicador de esa dirección coincide después con el tráfico de todos los demás.

La señal útil es entonces el dominio o el artefacto concreto, no la dirección. La tabla de coincidencias incluye cuántos dominios distintos vio el proxy en cada dirección: un número alto es la pista.

Responde para continuar

¿Por qué un indicador de dirección sobre infraestructura compartida da tantas coincidencias sin incidente?

Porque las fuentes que publican direcciones suelen equivocarse más que las que publican dominios o archivos Porque el proxy registra dos veces cada conexión a una dirección que aloja muchos dominios distintos Porque el tráfico legítimo de otros clientes que usan la misma dirección también coincide con el indicador

Abre la tabla de coincidencias. Interesa el indicador con más coincidencias entre los que no tienen ninguna verdadera: es el candidato más claro a tratar como ruido. Ojo: el que más coincidencias tiene en total no es necesariamente ese.

Responde para continuar

Escribe el identificador del indicador con más coincidencias entre los que no tienen ninguna verdadera.

Ver pista de ayuda

Consulta `SELECT * FROM coincidencias` y filtra por `verdaderas` igual a cero.

El indicador de la red de entrega de contenidos es el que más coincidencias acumula. Calcula qué porcentaje de sus coincidencias no acabó en incidente, redondeado al entero.

Responde para continuar

Escribe el porcentaje de coincidencias falsas del indicador IND-5001.

Ver pista de ayuda

Las falsas son las coincidencias menos las verdaderas; divide entre las coincidencias y multiplica por cien.

La lista de permitidos es la cura habitual, y también un riesgo: una entrada demasiado amplia silencia lo que debería verse. Una entrada bien hecha nombra lo exacto, tiene motivo, dueño y fecha de vencimiento. Revisa las tres.

Responde para continuar

Escribe el identificador de la entrada de la lista de permitidos con un alcance mayor que su motivo, sin dueño y sin vencimiento.

Ver pista de ayuda

Compara `alcance`, `duenio` y `vence` en `SELECT * FROM lista_de_permitidos`.

El equipo decide qué hacer con la dirección de la red de entrega de contenidos, que tiene 38 dominios distintos y casi ningún acierto. Los dominios legítimos que el hospital sí usa a través de ella deben dejar de alertar.

Responde para continuar

¿Qué combinación atiende el problema sin ocultar lo que sí debe verse?

Permitir los dominios legítimos con alcance acotado y dueño, y bajar la dirección a observación Permitir toda la dirección, para que ninguna coincidencia vuelva a llegar al turno Eliminar el indicador de la lista y no volver a cargar ninguna dirección de ese proveedor de contenidos

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué una dirección compartida engaña

2 El ruido sin un solo acierto Lab

3 El porcentaje de falsas Lab

4 La excepción desmedida Lab

5 La respuesta bien medida

Whoami-Labs Pro utiliza cookies