Escenario: Identificar en una captura de eventos el intento de acceso al proceso LSASS

3 tareas · 50 min · Principiante

Durante una sesión de respuesta a incidentes en un servidor corporativo, se ha extraído una captura de eventos Sysmon ID 10 correspondientes a solicitudes de acceso a procesos. Tu misión es localizar la entrada anómala que solicitó lectura de memoria contra lsass.exe e identificar el dictamen forense.

0 de 3 · 0%

Objetivo de la sala

Abre la consola con rt-credenciales-lsass-escenario y visualiza sysmon_event10_hunt.log. Localiza la ruta del proceso anómalo.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event10_hunt.log, ¿cuál es el Proceso Sospechoso Identificado?

Inspecciona en sysmon_event10_hunt.log el valor de permisos GrantedAccess registrado para la entrada sospechosa.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event10_hunt.log, ¿cuál es el Permiso GrantedAccess Sospechoso?

Consulta la conclusión de la célula de análisis al pie de sysmon_event10_hunt.log.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event10_hunt.log, ¿cuál es la cadena exacta en Dictamen Forense?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: edr-triage-station.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Ruta del proceso sospechoso que abrió LSASS Lab

2 Máscara de acceso anómala solicitada Lab

3 Dictamen forense emitido Lab

Whoami-Labs Pro utiliza cookies