Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

La regla y su prueba

5 tareas · 55 min · Principiante

Martes 13 de octubre, Cerámicas Guarnizo. Ya elegiste con qué empezar: la conducta del acceso directo que lanza PowerShell con un comando codificado. La regla CGZ-060 reemplaza a la que hoy mira solo un texto. Tienes su versión 0.1, la 0.2 que la sustituye, los doce casos de prueba, el resultado de cada versión y los criterios de la casa para dejar entrar una regla nueva. Todo son eventos ficticios de laboratorio: se leen y se deciden, no se ejecutan contra ningún equipo. Los comandos codificados llevan un marcador en lugar de contenido.

0 de 5 · 0%

Objetivo de la sala

Una condición de «contiene este texto» salta con todo lo que lo contiene. Eso la hace barata de escribir y cara de atender: cada coincidencia ajena es una alerta que alguien revisa. Los casos negativos existen para encontrar esas coincidencias antes de que las encuentre el turno.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe el identificador del caso negativo que la versión 0.1 dispara porque su línea de comandos lleva un parámetro de codificación de texto, no un comando codificado.

Ver pista de ayuda

Lee los casos negativos y busca el que usa un parámetro cuyo nombre empieza igual que el que busca la regla. Luego compruébalo en la columna de la v0.1 de los resultados.

La segunda versión corrige tres falsos positivos y gana un positivo. Que una versión mejore no la deja terminada: lo que todavía falla es lo que hay que escribir en la ficha, con su motivo, porque quien herede la regla tiene que saber dónde no ve.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe el identificador del caso positivo que la versión 0.2 sigue sin ver.

Ver pista de ayuda

En los resultados, busca un caso positivo con falla en la columna v0_2. Luego léelo y compara su parámetro con la lista de textos que busca la regla.

La versión 0.2 salta con el script que el equipo de TI lanza desde una consola de administración, con un comando codificado. Es una conducta legítima y repetida, de las que llenan el turno de alertas. Hay tres maneras de quitarla y solo una deja la regla honesta.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué haces con el caso del script de TI, que la versión 0.2 sigue disparando?

Lo quitas del conjunto de pruebas, porque un caso que hace fallar la regla no representa lo que pasa de verdad en la fábrica Añades una excepción acotada al script de TI, conservas el caso y escribes la excepción y su motivo en la ficha Excluyes todos los procesos cuyo padre sea cmd.exe, que es lo más rápido y deja la regla más limpia

Ver pista de ayuda

Mira de dónde cuelgan los positivos de la campaña antes de excluir un proceso padre entero. Y un caso de prueba que incomoda sigue siendo un caso.

La sensibilidad, sobre el conjunto de pruebas, es la parte de los casos positivos que la regla detecta. Es un número honesto solo si los positivos representan la conducta del aviso, y por eso conviene que alguien más pueda ver cuáles son.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Escribe el porcentaje de casos positivos que detecta la versión 0.2, sin el signo de porcentaje.

Ver pista de ayuda

Cuenta los casos positivos y cuántos de ellos dicen ok en la columna v0_2.

Con la excepción puesta, la regla pasa once de los doce casos y queda un solo positivo sin ver. Los criterios de la casa dicen exactamente cuándo entra una regla en sombra y cuándo en producción; no hay que inventar un criterio nuevo para esta regla.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según los criterios de la casa, ¿en qué estado dejas la regla?

Sin salir de pruebas hasta que los doce casos pasen, porque una regla con un fallo conocido no puede ni correr en sombra En producción con aviso desde mañana, porque los cuatro casos positivos de la campaña pasan y la sombra solo retrasa lo que ya está probado En sombra durante 14 días sin alertar al turno, con el positivo que no ve escrito en la ficha como límite conocido y con su plan

Ver pista de ayuda

El primer criterio dice qué casos tienen que pasar y qué tiene que estar escrito para entrar en sombra. El tercero dice qué se mide en la sombra para pasar a producción.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: estacion-deteccion.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 La regla que ve más de lo que debe Lab

2 Lo que sigue sin verse Lab

3 El falso positivo que es de la casa Lab

4 Cuánto ve la regla de lo que debe ver Lab

5 En qué estado queda Lab

Whoami-Labs Pro utiliza cookies