Escenario — el servidor de Transportes Río Claro

5 tareas · 55 min · Principiante

Escenario del módulo. Martes 8 de diciembre de 2026, poco después de la medianoche UTC. Otra empresa, otro servidor y otras cuentas: Transportes Río Claro S.A. te entrega las salidas recogidas de `trc-gestion01`, el servidor Linux donde se gestionan sus rutas, tras un aviso de su proveedor de internet. La gerencia de operaciones quiere saber qué pasó y si puede reiniciarlo mañana a primera hora. Nada de lo que viste con Cafetales del Sur se repite igual. No hay paso a paso ni pistas: lee lo que hay, decide qué importa y redacta lo que irá al informe.

0 de 5 · 0%

Objetivo de la sala

La cuenta de servicio svc-rutas entra todas las noches desde el servidor de aplicaciones de la empresa para hacer el proceso por lotes. La gerencia no recuerda haber autorizado nada más. Los registros de las noches anteriores dicen cuál es el comportamiento normal y cuál se sale de él.

Responde para continuar

Escribe la dirección desde la que `svc-rutas` abrió una sesión y no es la habitual.

Una vez dentro, la sesión dejó cambios en el sistema. El comité no quiere saber a qué hora fue cada cosa, sino cuánto tardó el visitante en dejar algo que lo hiciera volver.

Responde para continuar

¿Cuántos minutos pasaron entre la apertura de esa sesión y la modificación del crontab de `svc-rutas`? Escribe la cifra.

El responsable de TI encontró tres archivos de interés y los midió con stat. Alguno tiene una fecha de modificación que se contradice con el resto de sus marcas, pero no todos los que se contradicen son sospechosos: hay que mirar también cuándo se crearon y qué dice la empresa de ellos.

Responde para continuar

Escribe el nombre del archivo, creado durante la sesión del acceso inesperado, cuya fecha de modificación no puede ser cierta.

La gerencia pregunta si puede reiniciar el servidor mañana a primera hora, y el equipo de TI ya tiene permiso para hacerlo. Antes de decir que sí o que no, hay que saber qué evidencia dejaría de existir con el reinicio y cuál seguiría disponible después.

Responde para continuar

¿Qué respondes a la gerencia sobre reiniciar `trc-gestion01` sin capturar antes nada?

Se perderían el auth.log y el crontab de `svc-rutas`, porque son los archivos que el visitante modificó durante su sesión Nada se pierde, porque los procesos y las conexiones abiertas se reconstruyen siempre a partir de los registros de /var/log Se perderían el contenido de /tmp y el proceso con su conexión abierta; el resto está en disco

El auditor externo de la empresa lee inglés técnico y de todo el informe leerá primero una frase. Tiene que decir lo que la evidencia muestra con exactitud y no afirmar nada que la evidencia no muestre.

Responde para continuar

¿Qué frase abre correctamente el resumen ejecutivo para el auditor externo?

On 7 December at 21:36 UTC svc-rutas logged in from an address it does not normally use, and a job that runs every 20 minutes was added; data theft is not confirmed. Some activity that might possibly be unusual may have been seen on a server, and the team could perhaps look at it when there is time. An advanced attacker took over the whole company network and stole customer data, so the regulator must be notified at once without waiting for any further analysis.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El acceso que no encaja Lab

2 Del acceso al primer cambio Lab

3 Un archivo con una fecha que no puede ser Lab

4 Reiniciar mañana Lab

5 La frase que abre el resumen en inglés Lab

Whoami-Labs Pro utiliza cookies