Telemetría generada en el host al interactuar con servicios de nube

3 tareas · 35 min · Principiante

En el endpoint, las utilidades de sincronización y comandos de CLI hacia la nube dejan rastro en los eventos de creación de procesos y sockets de red.

0 de 3 · 0%

Objetivo de la sala

En el endpoint, las utilidades de sincronización y comandos de CLI hacia la nube dejan rastro en los eventos de creación de procesos y sockets de red.

Consulta telemetria_host_cloud.txt en el entorno rt-exfil-nube-legitima-guia. Localiza el binario rclone.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es la constante del binario de sincronización rclone documentado?

Ver pista de ayuda

Busca la línea Herramienta de Sincronización Multifuncional.

Localiza en telemetria_host_cloud.txt el identificador de evento de creación de procesos.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué identificador define el Event ID 1 de Sysmon citado?

Ver pista de ayuda

Observa la última línea del archivo.

Analiza qué correlación entre procesos y destinos de red revela un uso ofensivo de servicios cloud.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué correlación en Sysmon despierta alertas en los analistas defensivos?

El navegador Chrome abriendo sesiones hacia portales bancarios legítimos en horario laboral La aplicación de calculadora de Windows abriendo una ventana gráfica en el escritorio El proceso svchost actualizando la hora del sistema contra el servidor NTP corporativo Procesos como powershell.exe o rundll32.exe estableciendo conexiones salientes directas hacia IPs de almacenamiento en la nube

Ver pista de ayuda

Los procesos nativos de sistema no deberían interactuar directamente con S3 o Azure Storage.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: cloud-exfil-triage.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Herramienta de sincronización multifuncional Lab

2 Evento de creación de proceso en Sysmon Lab

3 Señal de alerta en telemetría de proceso y red Lab

Whoami-Labs Pro utiliza cookies