Creación de consultas de búsqueda para cazar la actividad propia

3 tareas · 20 min · Principiante

Diseña consultas de Threat Hunting estructuradas para aislar patrones de movimiento lateral y autenticaciones anómalas en entornos de producción.

0 de 3 · 0%

Objetivo de la sala

Diseña consultas de Threat Hunting estructuradas para aislar patrones de movimiento lateral y autenticaciones anómalas en entornos de producción.

Cuando una conexión se establece a través de recursos compartidos de red (SMB, RPC) utilizando credenciales válidas, Windows registra el evento 4624 con un tipo de inicio específico.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el valor del tipo de sesión de red auditado en las consultas de caza.

Ver pista de ayuda

Consulta el valor de LogonType en consultas_caza_avanzada.txt.

La utilización de mecanismos de autenticación basados en NTLM entre servidores internos suele ser indicio de ataques de relay o reutilización de hashes.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el identificador del protocolo de autenticación legacy auditado en la consulta.

Ver pista de ayuda

Revisa el protocolo especificado al final de consultas_caza_avanzada.txt.

Al redactar consultas de caza en volúmenes masivos de datos, ¿cuál es la mejor práctica para optimizar el rendimiento y reducir el costo computacional?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina la técnica recomendada para optimizar búsquedas en Microsoft Sentinel.

Escanear todas las tablas sin especificar ventana temporal para no omitir registros Filtrar primero por rango de tiempo estrecho y EventID específico antes de realizar operaciones de búsqueda de texto o agregaciones Ejecutar las consultas únicamente durante los fines de semana Evitar el uso de índices y forzar la lectura secuencial de todos los registros del disco

Ver pista de ayuda

Reducir el espacio de búsqueda con filtros temporales e IDs acelera la respuesta.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: sentinel-queries.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Tipo de Inicio de Sesión de Red Lab

2 Protocolo Heredado en Análisis Lab

3 Optimización de Consultas KQL Lab

Whoami-Labs Pro utiliza cookies