Triaje de eventos de endpoint tras ejecución

3 tareas · 38 min · Principiante

El triaje de telemetría tras la ejecución es la prueba de fuego de cualquier técnica. Un operador debe ser capaz de evaluar los registros de System Monitor para determinar con precisión qué rastros dejó la actividad y si algún evento superó los umbrales de alarma del centro de operaciones.

0 de 3 · 0%

Objetivo de la sala

Abre triaje_eventos_y_appcontrol.txt en la consola del laboratorio con el entorno rt-examen1-guia.

El Event ID 1 de Sysmon registra el ejecutable iniciado, la línea de comandos completa con sus parámetros y el proceso padre. Para superar la evaluación, el operador debe constatar que los argumentos no contengan firmas públicas obvias de herramientas conocidas.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué aspecto crítico de la línea de comandos examinan los analistas defensivos en el Event ID 1?

La presencia de argumentos sospechosos, scripts embebidos o llamadas a utilidades nativas con parámetros anómalos El número de vocales en el nombre de la máquina La marca de la tarjeta gráfica instalada

Ver pista de ayuda

Los argumentos y modificadores son el elemento central evaluado en las reglas de detección de creación de procesos.

Revisa el apartado 1 en triaje_eventos_y_appcontrol.txt.

El evento de acceso a procesos (ProcessAccess) es uno de los sensores más sensibles del sistema. Cualquier solicitud de manejador con derechos de lectura o escritura sobre procesos críticos del sistema operativo dispara alertas automáticas de severidad máxima.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según triaje_eventos_y_appcontrol.txt, ¿cómo describe el documento el indicador crítico relacionado con el proceso de seguridad local? Escribe la viñeta completa sin el guion inicial.

Ver pista de ayuda

Consulta el tercer guion bajo indicadores críticos en triaje_eventos_y_appcontrol.txt.

La presencia de un Event ID 8 (CreateRemoteThread) apuntando hacia procesos del sistema como svchost.exe o explorer.exe se considera una infracción grave de OPSEC en este nivel de evaluación.

Para superar la prueba con distinción, el operador debe demostrar que la ejecución se resolvió mediante mecanismos locales o llamadas que no crucen las fronteras entre procesos independientes.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué la ausencia total del Event ID 8 es un requisito de calidad en la evaluación técnica?

Confirma que la ejecución no recurrió a técnicas ruidosas de inyección remota que delaten la presencia de la baliza Evita tener que configurar una tarjeta de red Permite que el sistema operativo ahorre batería

Ver pista de ayuda

Evitar la creación de hilos remotos elimina uno de los indicadores de compromiso más vigilados por el EDR.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exam-evaluator.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Auditoría de creación de procesos Lab

2 Monitorización de acceso a procesos del sistema Lab

3 Cero eventos de hilos remotos Lab

Whoami-Labs Pro utiliza cookies