Fuentes de evidencia en planta

4 tareas · 38 min · Principiante

En una planta casi no hay un SIEM: cada equipo guarda lo suyo, durante poco tiempo, y casi todo se sobrescribe. Martes 16 de marzo de 2027, Aguas de Vistahermosa: la conexión sospechosa fue en la madrugada del lunes y hay que saber qué fuentes existen, cuánto vive cada una y cómo se copian sin tocar el proceso. La regla de la planta es que no se conecta nada nuevo a la red de control ni se escribe en un controlador. Solo lectura de un inventario de fuentes de ejemplo.

0 de 4 · 0%

Objetivo de la sala

La evidencia de planta se reparte entre el historiador, las pantallas, el cortafuegos de zona, los controladores y, si existe, un sensor pasivo. Muchas fuentes son circulares: lo nuevo borra lo viejo.

Se copia primero lo que antes se sobrescribe y no tiene otra copia, y siempre por una vía que no altere el proceso: lectura, exportación a un medio externo o copia de un archivo que ya existe. Cada copia se anota con quién, cuándo y de dónde.

Responde para continuar

Con varias fuentes de evidencia en una planta, ¿en qué orden se copian?

Primero la que antes se sobrescribe y no tiene otra copia, por una vía que no altere el proceso ni la red de OT Todas a la vez por la red de control con una herramienta de recolección, para tener una sola copia coherente Primero la más fácil de obtener, para ganar tiempo, y dejar para el final las que exigen coordinar con operaciones

Los controladores guardan un registro de diagnóstico pequeño: cambios de modo, descargas de programa, fallos de módulo. Sirve para saber si alguien tocó el programa, pero se sobrescribe rápido.

La tabla de fuentes dice cuántas horas conserva cada una en esta planta.

Responde para continuar

¿Qué equipo conserva su registro solo 6 horas? Escribe el nombre del equipo.

Ver pista de ayuda

Ejecuta `SELECT * FROM fuentes` y mira la columna de retención en horas.

Una huella existe hasta que su fuente la sobrescribe: la hora del evento más las horas de retención. Con la fecha de hoy se sabe cuánto margen queda.

Para el evento de la pantalla del cuarto de control, usa la retención de su fuente y calcula la hora exacta en que se perdería.

Responde para continuar

¿A qué hora, en formato AAAA-MM-DD HH:MM, se sobrescribe el inicio de sesión de ing-mant en la pantalla? Escribe solo la fecha y la hora.

Ver pista de ayuda

Ejecuta `SELECT * FROM eventos_clave` para la hora del evento y `SELECT * FROM fuentes` para la retención de la pantalla.

La planta tiene un sensor que recibe una copia del tráfico de la zona de control sin enviar nada, y guarda las últimas 36 horas. Es una fuente valiosa porque ya existía y no añade nada a la red. También se pierde pronto.

Responde para continuar

Quedan pocas horas de captura pasiva. ¿Qué se hace con ella?

Copiarla hoy a un medio externo, anotando quién, cuándo y su resumen criptográfico, sin conectar nada nuevo a la red Dejarla donde está, porque como es pasiva no se sobrescribe, y copiarla cuando termine el análisis del historiador Conectar un equipo nuevo al conmutador de la zona de control para sacarla más rápido y no perder las horas que quedan

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué se copia primero

2 La fuente que menos vive Lab

3 Hasta cuándo existe una huella Lab

4 La captura pasiva

Whoami-Labs Pro utiliza cookies