Del perfil a la regla

5 tareas · 55 min · Principiante

Miércoles por la tarde. Ya sabes qué hizo el actor en casa; ahora hay que convertirlo en algo que el SOC del cliente pueda usar sin ahogarse. La consola guarda la prueba de tres reglas sobre los registros de la semana, la cobertura de los sensores por agencia y la lista de hallazgos del inventario cruzada con una lista de explotación conocida de este escenario. Se decide qué regla se publica primero, cuánto se puede confiar en ella, dónde no puede ver nada y qué otro riesgo asoma al paso. Se lee y se razona sobre lo escrito; no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

La pirámide del dolor sirve para elegir dónde se gasta el esfuerzo de detección: lo que al adversario le cuesta cambiar dura más que lo que cambia con un clic. En la tabla de reglas hay una sobre un destino concreto, otra sobre el comportamiento del latido y otra sobre las tareas nuevas.

Responde para continuar

¿Qué regla conviene publicar en el SOC del cliente como la principal?

LSR-R3, la de las tareas nuevas, porque es la que más alertas generó en la semana de prueba sobre los equipos de las agencias LSR-R1, la del destino de red, porque es la única que no dio ningún falso positivo en toda la prueba LSR-R2, la del latido, porque describe el comportamiento y acertó sobre los dos equipos comprometidos

Ver pista de ayuda

Una dirección ya cambió entre agencias en una semana. ¿Qué regla seguirá sirviendo si vuelve a cambiar?

Una regla que alerta se mide por la proporción de sus alertas que cayeron sobre lo que se buscaba. La precisión se calcula con las alertas de acierto frente a todas las alertas de esa regla, acertadas y falsas, y se expresa en porcentaje.

Responde para continuar

¿Qué porcentaje de las alertas de LSR-R2 fueron aciertos? Escribe solo el número.

Ver pista de ayuda

Aciertos entre aciertos más falsas, por cien.

Una regla solo alerta sobre lo que el sensor recoge. Si en un sitio no existe el registro que la regla necesita, la ausencia de alertas no significa ausencia de actividad: significa que no se puede saber. Consulta la cobertura por agencia.

Responde para continuar

¿En qué agencia no existe ninguno de los dos registros que necesitan las reglas? Escribe su nombre.

Ver pista de ayuda

Busca la fila con «no» en las dos columnas.

La caza parte de una hipótesis que los datos pueden desmentir: qué se espera ver, en qué registro y en qué fechas. Si no encuentra nada, el resultado también sirve. Ya hay una tarea y un latido conocidos; se trata de preguntarse si el actor estuvo en algún sitio más.

Responde para continuar

¿Cuál es una hipótesis de caza que se puede probar con lo que hay?

Si el actor es de otro país, los metadatos de los documentos del resto de las agencias lo mostrarán Si el actor usó otras agencias, habrá en sus registros del 5 al 11 de octubre una tarea ActualizarPeritajes creada por un usuario sin privilegios Si el actor usó más equipos, se verá algo raro en la red de la sede durante este mes

Ver pista de ayuda

Una buena hipótesis nombra qué registro mirar, qué se espera ver y en qué fechas.

La inteligencia de vulnerabilidades prioriza por lo que ya se explota, por lo que alcanza cualquiera desde fuera y por lo que sigue sin parchear. No tiene que ver con el correo de falsos peritajes: es un hallazgo lateral que el análisis no debe esconder. Cruza las dos consultas: busca el que figura en las dos.

Responde para continuar

Escribe la referencia del hallazgo con explotación conocida, expuesto a internet y con parche pendiente.

Ver pista de ayuda

Un hallazgo explotado pero interno, o expuesto pero sin explotación conocida, tiene otra prioridad.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La regla que sobrevive Lab

2 Cuánto se le puede creer Lab

3 Donde la regla no ve Lab

4 Una caza que se pueda probar Lab

5 El hallazgo que asoma al paso Lab

Whoami-Labs Pro utiliza cookies