Escenario, Tejidos Sanjacinto

5 tareas · 52 min · Principiante

Otra organización, otra cuenta de AWS y otros números, y nadie te dice dónde mirar. El miércoles 11 de agosto de 2027, una persona ajena avisa a Tejidos Sanjacinto de que una llave de acceso de la empresa apareció en un repositorio público. Te entregan el inventario de llaves, la configuración de la bitácora, los eventos de administración de CloudTrail de los últimos días y los eventos de datos del único bucket que los registra. No hay pistas ni consultas sugeridas: el método del módulo es tuyo y aquí se aplica con otros datos; a cada tabla le basta un SELECT.

0 de 5 · 0%

Objetivo de la sala

El aviso trae el marcador de la llave expuesta, CLAVE-FICTICIA-0742. Un marcador solo identifica una credencial; el inventario de llaves dice a qué usuario pertenece, y de ese usuario depende qué permisos tuvo quien la usó.

Responde para continuar

¿A qué usuario de IAM pertenece la llave expuesta?

La bitácora anota la dirección de cada llamada. La llave expuesta tiene un uso habitual, desde el servidor de etiquetado de la empresa, y otro que no encaja. Hay que encontrar la dirección ajena que aparece en sus llamadas de madrugada del 10 de agosto.

Responde para continuar

¿Desde qué dirección ajena se usó la llave expuesta?

Entre las llamadas correctas de esa sesión hay altas de credenciales que le permiten volver aunque se retire la llave original. Una de ellas crea un usuario nuevo en la cuenta. Hay que encontrar su nombre, no el de la llave.

Responde para continuar

¿Cómo se llama el usuario de IAM que la sesión ajena creó en la cuenta?

Solo un bucket tiene eventos de datos activos, y cada fila resume las lecturas de un minuto. Solo cuentan las lecturas hechas con la llave expuesta desde la dirección ajena: las de la misma llave desde el servidor de etiquetado son su tarea habitual, y las del usuario nuevo se cuentan aparte.

Responde para continuar

¿Cuántas lecturas de objetos se hicieron con la llave expuesta desde la dirección ajena? Escribe solo el número.

La gerencia pide una frase para el informe. Elige la que cuenta lo que las tablas sostienen y no más.

Responde para continuar

¿Qué redacción describe correctamente lo ocurrido con la llave expuesta?

No hay incidente, porque una llave publicada cuyo uso no se ha confirmado por otras vías no demuestra nada, y basta con borrar el repositorio donde apareció para cerrar el caso Un atacante tomó el control de toda la cuenta y copió todos los datos de la empresa, porque la llave pertenecía a un usuario con acceso a todos los servicios y buckets La llave se usó desde una dirección ajena, que creó un usuario y una llave y no pudo apagar la bitácora; solo consta la lectura de un bucket y se ignora cuánto estuvo expuesta

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La llave y su dueño Lab

2 Desde dónde se usó Lab

3 Lo que dejó creado Lab

4 Cuánto se leyó Lab

5 Qué se escribe en el informe Lab

Whoami-Labs Pro utiliza cookies