Tráfico cifrado y límites

5 tareas · 38 min · Principiante

Hoy casi todo lo que atraviesa el proxy va cifrado, y el cifrado decide qué puede registrar cada fuente. Algunos túneles se abren con permiso y política para poder leerlos; otros se dejan cerrados por privacidad o por ley; y hay clientes que consultan nombres por canales que el resolvedor corporativo no ve. Esta sala enseña a decir con precisión qué se ve, qué no y qué hay que pedir para que se vea. En Distribuidora Tres Ríos lees la política de inspección, las conexiones HTTPS y los flujos del cortafuegos.

0 de 5 · 0%

Objetivo de la sala

Si el proxy no abre un túnel, su registro se queda en el destino, la hora y los bytes. El contenido y las cabeceras quedan fuera. Un equipo de detección no debe ocultarlo ni prometer lo contrario: debe decir qué reglas pueden apoyarse en esa fuente y cuáles necesitan otra.

Responde para continuar

Una regla quiere detectar un agente de usuario concreto dentro de túneles que el proxy no abre. ¿Qué conclusión es correcta?

La regla funcionará si se aumenta el nivel de detalle del registro del proxy en los túneles La regla detecta el agente en los túneles cifrados porque el proxy ve su nombre en el destino Esa fuente no basta para esos túneles; hace falta otra, como el agente de punto final

La política de inspección de la organización deja sin abrir dos categorías por proteger datos personales de las personas empleadas. Eso no es un error del proxy: es una decisión que tiene su motivo y su dueño. Abre proxy_https y cuenta las conexiones cuyo inspeccion es NO.

Responde para continuar

Escribe cuántas conexiones HTTPS de la mañana no se inspeccionaron.

Ver pista de ayuda

Filtra `proxy_https` por `inspeccion` igual a NO y cuenta las filas.

La regla de red dice que el DNS saliente solo debe ir al resolvedor corporativo. Revisa flujos_cortafuegos: un puerto reservado para DNS sobre TLS y un destino que no es el resolvedor corporativo señalan un cliente cuyas consultas no pasan por el registro del resolvedor. Es un hueco de visibilidad, no una prueba de mala intención.

Responde para continuar

Escribe la dirección del cliente que habla con un resolvedor fuera del corporativo.

Ver pista de ayuda

Busca en `flujos_cortafuegos` el flujo cuyo `destino_ip` no sea el resolvedor de `reglas_de_red`.

Existe también DNS sobre HTTPS (RFC 8484): las consultas viajan dentro de conexiones HTTPS al puerto 443, el mismo que usa la navegación normal. A diferencia de DNS sobre TLS, no hay un puerto que lo delate. Desde el cortafuegos, un flujo a 443 hacia un servicio de nombres y uno hacia cualquier sitio se parecen.

Responde para continuar

¿Qué se puede decir de este canal con solo los flujos del cortafuegos?

Que no se distingue por el puerto; hace falta una lista de servicios de ese tipo o la telemetría del equipo Que se identifica con seguridad por el número de bytes, siempre pequeño en las consultas de nombres Que no existe en una red con proxy, porque el proxy cierra los túneles que no reconoce ni inspecciona

La organización quiere cerrar el hueco. Las opciones tienen costos: abrir todo el tráfico choca con la política de privacidad y con la capacidad del equipo; esperar a ver qué ocurre deja el hueco abierto; y existen controles intermedios que no necesitan leer contenido.

Responde para continuar

¿Qué petición es proporcionada a lo que los registros muestran?

Abrir todas las categorías, incluidas finanzas y salud, para que no quede tráfico sin leer No actuar hasta que haya un incidente que lo justifique, porque no hay prueba alguna de daño real Bloquear el DNS saliente fuera del resolvedor corporativo y preguntar por qué se usaba otro

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Dónde acaba lo que se ve

2 Lo que no se abre por política Lab

3 El resolvedor que no es el nuestro Lab

4 DNS sobre HTTPS

5 Qué se pide

Whoami-Labs Pro utiliza cookies