Escenario: dos clústeres y las técnicas comunes

5 tareas · 53 min · Principiante

Escenario del módulo. Martes 24 de noviembre, 09:30. Otra organización y otro encargo: Envases Rucamanque, una planta de empaques con un equipo de seguridad de cuatro personas. En septiembre y en noviembre tuvo dos intrusiones y su analista guardó dos conjuntos de fichas, uno por clúster (CL-0618 y CL-0653). La directora de seguridad pregunta si son «los mismos» y pide, para la reunión de las 14:00, qué técnicas tienen en común, con qué seguridad y a qué nivel de detalle. Tienes las reglas de comparación que usa el equipo, las fichas de los dos clústeres con su evidencia y su versión de ATT&CK, y el software que citan los informes. No hay paso a paso: decide qué cuenta como común, qué queda por confirmar y qué se puede decir hoy. Todo es lectura de tablas de ejemplo; no se ejecuta ni se consulta nada.

0 de 5 · 0%

Objetivo de la sala

La comparación sigue la política del equipo: por técnica padre y solo con evidencia explícita en las dos fichas. Una coincidencia en la que una de las dos es inferida no entra en el recuento.

Responde para continuar

Calcula cuántas técnicas padre son comunes a los dos clústeres con evidencia explícita en ambos.

Cuando el identificador completo coincide, se reporta la subtécnica, que es un lazo más fuerte que el del padre. Solo una subtécnica lleva el mismo identificador en las dos fichas.

Responde para continuar

Escribe el identificador de la única subtécnica que lleva el mismo ID en los dos clústeres.

Hay una técnica que aparece en las dos fichas y que, sin embargo, no cuenta como común según la política: una de las dos fichas la deduce en vez de verla descrita.

Responde para continuar

Escribe el identificador de la técnica que coincide en las dos fichas pero queda por confirmar.

Entre las coincidencias de padre hay una donde las subtécnicas son distintas: un clúster registra el intérprete de PowerShell y el otro, la consola de comandos de Windows. Se reporta a nivel de padre.

Responde para continuar

Escribe el identificador de la técnica padre bajo la que se reportan PowerShell y la consola de comandos de Windows.

Son las 11:20 y la reunión es a las 14:00. La directora quiere una frase para la diapositiva. Una de las fichas del clúster de septiembre se mapeó con una versión anterior de ATT&CK, el software que citan los dos informes es una utilidad del propio sistema y la política dice cómo se trata.

Responde para continuar

¿Qué frase sostienen las tablas?

Los dos clústeres son el mismo actor, porque comparten técnicas y una utilidad del sistema Los clústeres no tienen relación, porque cada uno usa subtécnicas distintas en casi todas las familias Se solapan en técnicas confirmadas y una por confirmar, lo que no prueba por sí solo un mismo actor

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cuántas técnicas padre se comparten Lab

2 La subtécnica que coincide Lab

3 La coincidencia que se queda por confirmar Lab

4 Mismo padre, distinta variante Lab

5 Qué se le dice a la directora

Whoami-Labs Pro utiliza cookies