Escenario: Rastrear en logs de autenticación una sesión remota iniciada mediante WinRM

3 tareas · 50 min · Principiante

Durante una guardia de cacería de amenazas en la red corporativa, se ha detectado una serie de inicios de sesión en un servidor de aplicaciones. Tu misión es analizar la bitácora de seguridad, identificar la sesión anómala de WinRM, el host de origen y el dictamen emitido por la célula de respuesta.

0 de 3 · 0%

Objetivo de la sala

Abre la consola con rt-movimiento-wmi-winrm-escenario y visualiza security_winrm_lateral.log. Localiza la IP del equipo atacante.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según security_winrm_lateral.log, ¿cuál es la dirección en Host Origen de la Conexión?

Inspecciona en security_winrm_lateral.log el nombre del usuario utilizado en la sesión remota.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según security_winrm_lateral.log, ¿cuál es la Cuenta Empleada en el Movimiento documentada?

Consulta la conclusión pericial al pie de security_winrm_lateral.log.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según security_winrm_lateral.log, ¿cuál es la cadena exacta en Dictamen?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: incident-triage-winrm.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Dirección IP del host origen de la conexión Lab

2 Cuenta empleada en el movimiento lateral Lab

3 Dictamen de la célula de respuesta Lab

Whoami-Labs Pro utiliza cookies