Confirmar la exposición

5 tareas · 50 min · Principiante

13 de agosto, 09:40 UTC. En el buzón de seguridad de la Cooperativa Aguaviva, una cooperativa de ahorro y crédito, llega el aviso de una persona externa: dice que un almacenamiento con archivos de socios responde sin credenciales. Todavía no sabes si tiene razón. Tienes el aviso, la política del bucket, el estado del bloqueo de acceso público a las 10:02 y los eventos de configuración de la auditoría. No hay paso a paso ni pistas: lo primero es separar lo que alguien dice de lo que la configuración demuestra, y todo es lectura de evidencia ficticia.

0 de 5 · 0%

Objetivo de la sala

Un aviso es un punto de partida, no una prueba. La auditoría de la nube guarda quién cambió cada ajuste, y la identidad de una sesión de rol lleva el nombre del rol y, tras la última barra, el de la sesión que lo usó. Busca el evento que apagó la protección del bucket y mira quién lo firma.

Responde para continuar

Escribe el nombre del rol cuya sesión quitó el bloqueo de acceso público del bucket.

Un almacenamiento queda abierto cuando coinciden dos cosas: algo que permite la lectura a cualquiera y nada que impida que ese permiso se aplique. Las dos cosas viven en archivos distintos, y confirmar es encontrar las dos, no fiarse de quien avisa ni del nombre del bucket.

Responde para continuar

¿Qué convierte el aviso en una exposición confirmada?

La política con Principal asterisco que permite leer objetos, más el bloqueo de acceso público apagado, ambos en la configuración Que quien avisa sea una persona del sector, porque si dice que descargó datos de socios es seguro que el bucket está abierto Que el bucket se llame exportes de cartera, porque con ese nombre debe de contener datos personales y por lo tanto estar expuesto

La exposición no empieza con el primer cambio sino cuando están los dos: mientras el bloqueo estuviera activo, una política pública no se aplicaría. Cuenta desde el momento en que ya no faltaba nada para que cualquiera leyera, hasta la hora en que llegó el aviso.

Responde para continuar

Escribe cuántos minutos pasaron desde que el bucket quedó realmente expuesto hasta que llegó el aviso.

A las 10:05 hay que escribir la primera línea de la bitácora del incidente. Lo que se anota ahí se leerá después como lo que se sabía en ese momento, así que cada palabra tiene que poder respaldarse con un archivo de esta carpeta.

Responde para continuar

¿Qué anotas en la bitácora a las 10:05?

Que no hay incidente mientras nadie demuestre una descarga, así que se espera a tener el registro de acceso completo Que la exposición está confirmada por la configuración, y que quién leyó y cuántos datos hay queda por medir Que los datos fueron robados y se están usando, porque el bucket estuvo abierto varios días y eso basta para saberlo

En la auditoría cada evento lleva el nombre de la operación que se llamó a la API del servicio de almacenamiento. Entre los eventos de configuración de ese bucket, hay uno que desactiva la protección de la cuenta de forma directa y que va antes de la política.

Responde para continuar

Escribe el nombre de la operación que eliminó el bloqueo de acceso público.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Quién tocó el bloqueo Lab

2 Qué demuestra que está expuesto Lab

3 Cuánto tiempo estuvo abierto Lab

4 Lo que se puede decir ya Lab

5 La acción que lo abrió Lab

Whoami-Labs Pro utiliza cookies