Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Lo que se puede ver hoy

5 tareas · 50 min · Principiante

Lunes 12 de octubre, 12:30. Ya tienes las ocho conductas del aviso. Cada una necesita un rastro, y ese rastro tiene que llegar al SIEM de Guarnizo, de los equipos que importan y durante los días que hacen falta. Tienes las ocho conductas con la fuente que cada una necesita, las ocho fuentes con lo que hoy entregan y el catálogo de reglas que ya alertan al turno. Lo que sigue es decidir qué se puede escribir hoy, qué hay que pedir y qué se deja anotado. La consulta es de solo lectura sobre tablas ya preparadas.

0 de 5 · 0%

Objetivo de la sala

Una hipótesis sin dato es un deseo. Cruza cada conducta con la fuente que necesita y mira cuántos equipos la entregan: una fuente en cero deja ciega a la conducta, por bien escrita que esté la regla. Y una regla escrita sobre una fuente en cero es la peor de todas, porque nunca salta y parece cobertura.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el identificador de la conducta de confianza alta cuya fuente no entrega ningún equipo.

Ver pista de ayuda

Cruza las conductas con las fuentes por el código de la fuente. Hay tres conductas con una fuente en cero, pero solo una de ellas tiene confianza alta.

Dos fuentes hablan de crear procesos: una llega a casi todos los equipos pero no trae la línea de comandos; la otra la trae y llega a menos. Una regla que mira el texto de la línea de comandos solo ve los equipos de la segunda, y eso es parte de lo que hay que decir cuando se entrega la regla, no una nota al pie.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el porcentaje de los 400 equipos que entregan hoy la línea de comandos de los procesos, sin el signo de porcentaje.

Ver pista de ayuda

Solo una de las dos fuentes de creación de procesos trae el campo linea_de_comandos. Divide los equipos que la entregan entre el total.

Esta semana solo hay tiempo para escribir una regla primero. El criterio de la jefatura está por escrito: la conducta de confianza alta, cuya fuente ya llega al SIEM, y que el catálogo cubre peor. Las tres partes tienen que cumplirse.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Con qué conducta empiezas?

Con C-01, porque es la primera conducta de la cadena y la que más miembros del sector vieron, aunque su regla de producción se probó en agosto Con la tarea programada, porque es de confianza alta y es lo que mantiene al adversario dentro; la fuente se activa después Con C-02, porque su fuente existe en parte del parque y la regla que hoy la cubre ignora quién lanzó el proceso y qué lo rodea al lanzarlo

Ver pista de ayuda

Descarta primero la conducta que no tiene fuente, luego la que ya está bien cubierta. La que queda cumple las tres partes del criterio.

Cuando la fuente no existe, la regla no se escribe: se pide la fuente. Pedirla bien es decir cuál es, qué conducta del aviso la necesita y por qué hoy no llega. El dueño de la fuente es otra persona, y lo que le pidas tiene que cabérsele en una línea.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe el código de la fuente que hay que pedir que activen para poder cubrir el acceso a la memoria del proceso lsass.

Ver pista de ayuda

La conducta es la de la técnica T1003.001. La tabla de conductas dice qué fuente necesita y la de fuentes dice por qué hoy no llega nada.

La conducta de confianza baja tiene además la fuente sin activar. Un aviso con un solo miembro y sin corroborar puede resultar cierto o no, y activar una auditoría en los servidores de archivos cuesta tiempo a otro equipo. Lo que hagas con ella tiene que dejar rastro, aunque no sea una regla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué haces con la conducta de confianza baja?

Escribes la regla igualmente sobre el proxy, que sí llega a todo el parque, y la dejas activa por si alguna vez coincide con lo que dice el aviso La descartas del aviso, porque una conducta de confianza baja no merece ni una línea en el catálogo de la casa ni el tiempo de nadie en el turno de mañana La dejas en el cuaderno con su hipótesis, el dato que falta y quién puede activarlo, y la retomas cuando otro miembro la corrobore o llegue el dato

Ver pista de ayuda

El catálogo es un registro de lo que se sabe y de lo que falta. Una conducta sin regla puede estar escrita sin estar activa.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Catálogo · Cerámicas Guarnizo — conductas del aviso, fuentes y reglas

Consultas guardadas · datos ficticios, no se ejecuta nada

Tablas

conductas

id
tecnica
confianza
fuente
campo_clave

fuentes

codigo
fuente
campos_disponibles
equipos_que_la_entregan
retencion_dias

catalogo

id
nombre
tecnica
fuente
logica
estado
ultima_prueba

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Una conducta alta que hoy no se ve Lab

2 Un campo que solo está en una parte del parque Lab

3 Con cuál empiezas Lab

4 Lo que hay que pedir Lab

5 La conducta que nadie corroboró Lab

Whoami-Labs Pro utiliza cookies