Señales de privilegios y desplazamiento

5 tareas · 40 min · Principiante

Con una cuenta de usuario común no se cifra una empresa. Entre el acceso inicial y el cifrado hay que conseguir poder y alcance, y ambos dejan rastro en el dominio: cuentas que se usan de una manera que no es la suya, grupos privilegiados que crecen y una cuenta que aparece en muchos equipos en pocos minutos. En Empaques Matarratón lees los eventos del dominio del 13 al 16 de octubre de 2026 y los comparas con lo habitual de cada cuenta.

0 de 5 · 0%

Objetivo de la sala

Una cuenta de servicio existe para hacer una cosa desde un lugar: un servicio de respaldo no tiene dueño humano que abra un escritorio remoto. Por eso el uso de una cuenta se juzga contra su propia línea base, no contra la de otra. En un inicio correcto (evento 4624) el tipo 10 es una sesión de escritorio remoto, y el evento 4672 indica que la sesión recibió privilegios especiales. Esas dos filas juntas, sobre una cuenta que no admite sesión interactiva, pesan más que cada una por separado.

Responde para continuar

Una cuenta de servicio aparece con una sesión de escritorio remoto y privilegios especiales. ¿Con qué se compara para juzgarla?

Con el promedio de todas las cuentas del dominio, para ver si se aparta de la mayoría de ellas Con su propia línea base de tipo de cuenta, sesión interactiva permitida y origen habitual Con la cantidad de veces que el equipo de soporte la ha usado en el último mes

El cambio de pertenencia a un grupo privilegiado es de las señales más claras: no hay una forma casual de llegar a un grupo con poder sobre todo el dominio. Abre eventos_windows y busca la fila de tipo cambio de grupo. El nombre del grupo es lo que permite decidir cuánto poder ganó la cuenta.

Responde para continuar

Escribe el nombre del grupo al que se añadió la cuenta de servicio.

Ver pista de ayuda

Filtra `id_evento` igual a cambio de grupo y lee la columna `detalle`.

Tres cuentas distintas, de tipos distintos, aparecen en pocos días con sesiones que llegan desde la misma dirección interna. Cada cuenta por separado puede tener una explicación; la dirección compartida las une. En linea_base está de dónde llega normalmente cada una. Busca la dirección que comparten l.ferrer, adm-soporte y svc-respaldo en las filas anómalas.

Responde para continuar

Escribe la dirección de origen que comparten las sesiones anómalas de las tres cuentas.

Ver pista de ayuda

Compara la columna `origen` de las filas de cada cuenta con su `origen_habitual` en `linea_base`.

El desplazamiento lateral se ve como una misma cuenta con inicios de sesión de red en muchos equipos distintos en poco tiempo. Cuenta equipos distintos, no filas: algunos equipos se repiten. Mira el 16 de octubre en eventos_windows y compara el número con los equipos por semana de la cuenta en linea_base.

Responde para continuar

Escribe cuántos equipos distintos tuvieron un inicio de sesión de svc-respaldo el 16 de octubre.

Ver pista de ayuda

Filtra `cuenta` igual a svc-respaldo y la fecha del 16 de octubre; cuenta los valores distintos de `equipo`.

La cuenta de servicio recorre muchos más equipos de los habituales en poco tiempo, y la pertenencia a un grupo la cambió otra cuenta, la de soporte. Los registros dicen quién hizo cada cosa con qué cuenta; no dicen quién estaba detrás del teclado.

Responde para continuar

¿Qué conclusión se sostiene con las filas de esta sala?

Que el equipo de soporte actuó de mala fe, porque su cuenta añadió el grupo privilegiado Que dos cuentas, la de servicio y la de soporte, se usaron de forma ajena a su línea base desde un origen común Que la cuenta de servicio falló, porque una cuenta legítima nunca inicia sesión en tantos equipos distintos en una sola noche

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que la línea base dice de una cuenta

2 Quién se volvió administrador Lab

3 Un origen que no es de nadie Lab

4 Una cuenta en todas partes Lab

5 Qué se concluye y qué no

Whoami-Labs Pro utiliza cookies