Escenario — colisión operativa nocturna en Bancalima

Abre resumen_incidente.txt en la terminal del laboratorio. Revisa los detalles técnicos del reporte urgente emitido por el SOC Nivel 2.

Identifica el nombre de host completo (FQDN) del servidor transaccional donde se detectó el inicio de sesión anómalo.

Consulta bitacora_redteam_oficial.txt. En las Reglas de Enfrentamiento (ROE), el Red Team tiene asignado un rango o dirección IP específica para originar sus conexiones internas, permitiendo identificar de forma inequívoca sus acciones.

Identifica la dirección IP única asignada contractualmente al Red Team en el segmento interno de Bancalima.

Abre resolucion_whitecell.txt. Cruza la hora del evento (02:41:15 UTC), la IP de origen (192.168.45.108) y la naturaleza del comando (net user ... /add) con las entradas de bitacora_redteam_oficial.txt.

Identifica el dictamen formal emitido por la White Cell respecto a la clasificación de la alerta según los tres tipos del marco de desconflicción.

Revisa las decisiones tomadas en resolucion_whitecell.txt. Al comprobar que la actividad hostil no provino del equipo de pruebas éticas, la White Cell autorizó el aislamiento inmediato del host y la intervención del Equipo de Respuesta a Incidentes (DFIR).

Identifica el código formal de activación del protocolo DFIR.

Revisa las filas registradas en bitacora_redteam_oficial.txt. Para determinar el alcance de la actividad autorizada previa a la colisión, la White Cell debe verificar cuántas acciones ejecutó el equipo ofensivo esa noche.

Cuenta cuántas entradas de acción técnica están registradas en la tabla de la bitácora oficial.