Evitar falsos positivos: calibración de la regla con datos normales

3 tareas · 20 min · Principiante

Aplica técnicas de blanqueo y filtrado contextual sobre cuentas de servicio y herramientas de respaldo legítimas para eliminar alertas espurias.

0 de 3 · 0%

Objetivo de la sala

Aplica técnicas de blanqueo y filtrado contextual sobre cuentas de servicio y herramientas de respaldo legítimas para eliminar alertas espurias.

Al desplegar una regla de detección de PowerShell invocado por WMI, es frecuente encontrar que utilidades legítimas de mantenimiento administrativo replican patrones similares durante la noche.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el nombre de la cuenta de servicio legítima excluida en la calibración de la regla.

Ver pista de ayuda

Consulta calibracion_ruido_baseline.txt en el directorio de calibración.

El proceso de ajustar los filtros analíticos contrastando con el tráfico habitual de la organización permite elevar la fidelidad sin cegar la detección ante atacantes reales.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el término que describe el proceso de calibración documentado en el archivo.

Ver pista de ayuda

Observa la última línea de calibracion_ruido_baseline.txt.

¿Qué peligro surge si un ingeniero de detección crea excepciones demasiado amplias para suprimir alertas ruidosas?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina el riesgo de aplicar reglas de exclusión excesivamente genéricas.

El procesador del servidor aumentará drásticamente la temperatura interna Los certificados de autenticación de Windows se revocarán automáticamente La base de datos del SIEM dejará de indexar cualquier tipo de registro en el sistema Un atacante puede identificar la excepción y nombrar sus artefactos o procesos de forma idéntica para evadir la alerta por completo

Ver pista de ayuda

Exclusiones demasiado amplias crean refugios ciegos que los atacantes pueden imitar.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: detection-tuning.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Exclusión de Cuentas de Servicio Legítimas Lab

2 Metodología de Calibración Lab

3 Riesgo de Sobre-Filtrado Lab

Whoami-Labs Pro utiliza cookies