Ejercicio púrpura: planear con el equipo de defensa

4 tareas · 40 min · Principiante

Un ejercicio púrpura no es una prueba sorpresa ni una competencia: el equipo que evalúa y el que defiende se sientan juntos, acuerdan qué técnicas se van a ejecutar, las observan en vivo y ajustan la detección entre una vuelta y otra. Esta sala lee el acta, la matriz de técnicas, los roles, las reglas y la bitácora conjunta de la primera vuelta del encargo de Alimentos Chipatá, y evalúa si el plan está completo. Es lectura de documentos: aquí no se ejecuta nada.

0 de 4 · 0%

Objetivo de la sala

En un encargo clásico el cliente se entera al final. En un ejercicio púrpura se entera antes, mira mientras pasa y corrige en el camino. Eso cambia la unidad de trabajo: ya no se mide «si entró o no entró», se mide técnica por técnica si la señal existe, si llega, si hay regla y en cuánto tiempo avisa.

Por eso el plan se escribe por técnicas del catálogo público de ATT&CK y no por herramientas. Una herramienta cambia cada año; la pregunta de si el cliente ve una consulta masiva al directorio sigue siendo la misma.

Abre el laboratorio y lee matriz-de-tecnicas.txt.

Responde para continuar

Escribe el identificador de la única técnica que está en las dos vueltas y no tiene regla asignada.

Ver pista de ayuda

`cat matriz-de-tecnicas.txt` y cruza la columna de regla con la de vueltas.

Dos acuerdos operativos sostienen el ejercicio. El primero es un canal donde se avisa cada acción antes de hacerla, con su técnica y su objetivo: es lo que permite que el SOC atribuya en el momento y lo que deja constancia escrita para el informe. El segundo es quién puede detener todo, en una sola persona del cliente y sin discusión.

Falta un tercero que esta sala trae del encargo real: todo el que esté de turno tiene que poder ver ese canal. Un aviso que solo leen tres personas de la reunión no sirve al analista de las once de la noche.

Responde para continuar

Escribe el nombre del canal acordado para avisar antes de cada acción.

Ver pista de ayuda

Está en `reglas-del-ejercicio.txt`, en la primera regla.

Dos tentaciones arruinan el ejercicio, una por cada lado. Si el equipo que defiende apaga o afina controles para que la prueba «se vea bonita», lo que se mide deja de parecerse a un martes cualquiera. Si el equipo que evalúa esconde su actividad para que no lo pillen, deja de ser un ejercicio conjunto y vuelve a ser una competencia que no mejora ninguna detección.

Responde para continuar

Antes de la segunda vuelta, el líder del SOC propone subir el detalle de registro solo en los equipos del ejercicio. ¿Qué respondes?

Que el cambio se aplique como se aplicaría en producción, o el resultado no dirá nada de un día normal Que se suba solo en esos equipos, y así se compara con toda limpieza el antes y el después de cada técnica Que no se cambie nada entre las dos vueltas para que la comparación sea válida

Ver pista de ayuda

¿Qué quiere saber la dirección al final: qué pasó en esos equipos, o qué pasaría en su red?

La segunda vuelta no repite todo: repite lo que no se vio, lo que se vio tarde y lo que se arregló entre medias, para comprobar que el arreglo funciona. Saber cuántas técnicas entran en esa repetición es lo que permite estimar el tiempo del segundo día y lo que el cliente tiene que tener listo antes.

Responde para continuar

¿Cuántas técnicas de la matriz se ejecutan en las dos vueltas?

Ver pista de ayuda

Cuenta las filas de la matriz cuya columna de vueltas nombra las dos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué cambia respecto de un encargo normal Lab

2 El canal y la palabra de parada Lab

3 Lo que no se hace en un ejercicio púrpura Lab

4 Qué se repite en la segunda vuelta Lab

Whoami-Labs Pro utiliza cookies