Huecos de visibilidad

4 tareas · 40 min · Principiante

Todo SIEM tiene huecos, y el peor no es el que existe: es el que nadie ha contado. Un hueco es un periodo, una fuente o un tipo de acción sobre los que el sistema no puede decir nada, y en una investigación se declara con la misma precisión con que se declara un hallazgo. Martes 8 de junio de 2027, Lácteos Cumbrebella: tres huecos de tres tipos distintos en las fuentes del caso del proveedor, y la decisión de cuál se puede cerrar y cuál solo se puede declarar.

0 de 4 · 0%

Objetivo de la sala

Un hueco de visibilidad es de uno de tres tipos, y distinguirlos decide qué se hace:

No se recolectó. El equipo escribió el registro en su disco, pero el agente o el reenviador dejó de enviarlo. El dato existe: se puede exportar y cerrar el hueco.
Llegó, pero no se puede leer. El evento está en el SIEM sin campos, por un cambio de formato o una línea truncada. El original existe: se reprocesa.
Nunca se registró. La auditoría no estaba activa, o la acción no se registra en esa fuente. No existe nada que recuperar: el hueco solo se declara.

El tercero es el único que ninguna exportación arregla, y por eso es el que más cuidado exige al redactar.

Responde para continuar

De estos tres huecos, ¿cuál es el único que no se puede cerrar recuperando datos que sí existen?

Un conjunto de eventos que llegaron al SIEM sin campos por un cambio de formato Un sistema donde la auditoría de esa acción no estaba activada y por eso jamás se escribió nada Un agente que dejó de enviar durante unas horas mientras el equipo seguía escribiendo su registro en el disco del servidor

Un hueco de recolección se ve en el volumen: una fuente que escribe todo el tiempo y de pronto cae a cero durante horas mientras otras siguen normales. La comparación con una fuente de control, que sigue enviando, es lo que prueba que el SIEM estaba recibiendo y que el silencio es de la fuente.

En el laboratorio tienes el volumen por hora de dos fuentes y el inventario de huecos con su tipo. El hueco de recolección es el que dice que el agente dejó de enviar.

Responde para continuar

¿Qué servidor dejó de enviar eventos al SIEM durante varias horas aunque sigue escribiendo su registro en el disco? Escribe su nombre.

Ver pista de ayuda

Ejecuta `SELECT * FROM eventos_por_hora ORDER BY fuente, hora_utc` para ver el cero sostenido, y `SELECT * FROM huecos_detectados` para ver el tipo de cada hueco.

La duración de un hueco se mide entre la última hora conocida antes y la primera conocida después: lo que hay entre las dos es lo que no se ve. Se escribe en minutos u horas y con las horas de los dos extremos, en UTC. Medirlo con la tabla por hora (horas redondas) da un número distinto y menos exacto: los extremos reales están en el inventario de huecos.

La duración no es un detalle de forma. Es lo que permite decir qué parte del incidente cae dentro y qué parte queda fuera, y si el periodo de interés está o no cubierto.

Responde para continuar

¿Cuántos minutos duró el silencio del agente, entre la última línea enviada y la primera tras volver? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT fuente, desde_utc, hasta_utc FROM huecos_detectados WHERE tipo_de_hueco = 'el agente dejó de enviar'` y resta las dos horas.

Un hueco que no se puede cerrar se declara: se escribe en el informe con su periodo exacto, la fuente, la causa conocida (o la frase «causa sin determinar»), lo que no se puede afirmar por su culpa y qué otras fuentes acotan lo que ocurrió en ese intervalo. No se omite, no se rellena con suposiciones y no se presenta como prueba de ausencia.

Una declaración honesta protege a quien investiga: el lector ve exactamente dónde acaba lo que se sabe y empieza lo que no, y puede decidir con ese margen.

Responde para continuar

La auditoría de la base de datos no estaba activa antes del 20 de mayo. ¿Cómo se redacta ese hueco en el informe?

Se anota el periodo anterior al 20 de mayo, que esa fuente no tiene registros, qué no puede afirmarse y qué otras fuentes aportan Se omite del informe, porque sin registros no hay hallazgo y mencionar lo que no se ve resta credibilidad al resto del trabajo Se menciona al final, en una línea, que quizá faltan algunos datos, sin precisar qué fuente ni qué periodo ni qué consecuencias tiene

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Tres tipos de hueco

2 Encontrar la fuente que calló Lab

3 Cuánto duró el silencio Lab

4 Cómo se declara un hueco que no se puede cerrar Lab

Whoami-Labs Pro utiliza cookies