Leer lo que hizo la llave

5 tareas · 50 min · Principiante

06:50 en Bogotá. La llave está inactiva y la P1 acusada; ahora toca saber qué hizo mientras estuvo viva. Tienes la configuración del registro de auditoría, un extracto de eventos de la cuenta con un evento por línea y las lecturas de datos de S3 sumadas por hora. La llave tiene un uso conocido —el trabajo de conciliación de cada noche, que sale de la CI de Quillay— y todo lo que no encaje con eso merece una segunda mirada. Dos cosas en las que fijarte desde el principio: qué registra este registro y qué no, y que lo que una llave crea para sí misma también cuenta.

0 de 5 · 0%

Objetivo de la sala

La llave se usa todas las noches desde la salida de la CI. Una sola dirección distinta basta para saber que alguien más la tiene. Busca el primer evento de la llave cuya dirección de origen no sea la de la CI, y quédate con esa dirección: es la que seguirás en todos los registros de esta noche, en AWS y en Azure.

Responde para continuar

Escribe la dirección desde la que se hizo la primera llamada de la llave que no sale de la CI.

Ver pista de ayuda

En el extracto, el campo de dirección de origen de cada evento. Ordenados por hora, mira dónde cambia.

Entre los eventos de la dirección ajena hay lanzamientos de máquinas. Una cuenta que trabaja en dos regiones y de pronto lanza cómputo en una tercera tiene delante un uso que no es suyo, y un registro de auditoría multirregión es lo que permite verlo. Mira la configuración del registro y busca el lanzamiento.

Responde para continuar

Escribe la región en la que se lanzaron las seis instancias.

Ver pista de ayuda

Busca el evento de lanzamiento de instancias y mira su región; la cuenta de Quillay solo trabaja en dos.

Contener la llave no basta si la llave, mientras vivía, creó otra cosa que sigue viva. Entre los eventos de gestión de identidad del extracto hay uno que crea un usuario nuevo, otro que le adjunta una política y otro que le crea una clave de acceso. Ese usuario no está en el inventario de identidades de Quillay, y su dueño, tampoco.

Responde para continuar

Escribe el nombre del usuario que se creó con la llave y que no está en el inventario.

Ver pista de ayuda

Mira los eventos de la categoría de identidad y el parámetro que lleva el nombre del usuario creado.

Las lecturas de datos de S3 no vienen una a una, vienen sumadas por hora. Hay una fila con la actividad normal de la CI y varias de la dirección ajena. Para decirle a la dirección cuántos objetos se leyeron hay que sumar solo lo que hizo la dirección que no es de Quillay, no todo lo que hizo la llave.

Responde para continuar

¿Cuántas lecturas de objetos de recibos hizo la llave desde la dirección ajena?

Ver pista de ayuda

Filtra las filas por dirección de origen y suma la columna del total.

Quillay tiene tres almacenamientos con datos de clientes. El registro de datos solo está configurado para uno de ellos. La política de la llave permitía leer los tres, y la llave estuvo en manos ajenas varias horas. La pregunta del comité será si se llevaron los extractos bancarios, y la respuesta honesta depende de lo que el registro es capaz de ver.

Responde para continuar

¿Qué puedes afirmar sobre los extractos bancarios con este registro?

No se puede descartar que se hayan leído: la llave podía hacerlo y ese almacenamiento no tiene registro de eventos de datos No se leyeron, porque en las lecturas por hora solo aparece el almacenamiento de recibos y ninguna fila del de extractos Se leyeron igual que los recibos, porque la llave hizo lo mismo en todos los almacenamientos que podía leer

Ver pista de ayuda

Pregúntate qué configuró el registro de datos y qué haría que una lectura apareciera en las filas por hora.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La primera vez que no era la CI Lab

2 Una región que nadie usa Lab

3 Lo que la llave dejó para sí Lab

4 Cuántos recibos Lab

5 Lo que el registro no puede decir Lab

Whoami-Labs Pro utiliza cookies