Telemetría de DNS pasivo como evidencia

5 tareas · 40 min · Principiante

El DNS pasivo guarda lo que los resolutores contestaron: qué nombre resolvió a qué valor, entre qué fechas y cuántas veces se vio. Sirve para reconstruir la historia de un nombre sospechoso sin tocarlo. También engaña si se lee sin cuidado. Tienes la base de observaciones de Editorial Quebrada Dulce, la descripción de sus sensores y el reporte que originó la revisión, a 14 de marzo de 2028. Es evidencia de ejemplo; no se consulta ningún servicio externo.

0 de 5 · 0%

Objetivo de la sala

El DNS pasivo es una base de respuestas de DNS observadas por sensores (los resolutores de una empresa o los de proveedores participantes), agregadas con la primera y la última vez que se vio cada par nombre-valor y un conteo. No se consulta a nadie en el momento: se lee lo que ya se observó.

Su límite es la cobertura. Solo contiene lo que sus sensores vieron: que un valor no aparezca no demuestra que no existió, y los conteos son de lo visto, no del tráfico real.

Responde para continuar

¿Qué es el DNS pasivo y cuál es su límite principal?

Una consulta en vivo a los servidores autoritativos que devuelve siempre el valor actual de cualquier nombre con total certeza, sin límite de cobertura Un modo de los resolutores que no registra nada para proteger la privacidad de quien pregunta y por eso deja la historia vacía Una base de respuestas observadas por sensores, con primera y última vez, útil para reconstruir historia pero limitada a lo que esos sensores vieron

Ver pista de ayuda

Es memoria de lo observado, no una consulta nueva.

El reporte del caso trae un nombre. La primera pregunta es adónde resolvió y cuándo. Un nombre puede cambiar de valor con el tiempo, y cada valor tiene su ventana.

Consulta pdns para el nombre del reporte y fíjate en la primera ventana de observación.

Responde para continuar

¿A qué dirección resolvió por primera vez descarga-catalogo.example? Escribe la dirección.

Pivotar por dirección consiste en buscar qué otros nombres compartieron un valor. Sirve para ampliar la lista de nombres que revisar, pero cada resultado es un candidato, no una conclusión.

Filtra pdns por esa dirección y mira las fechas de primera vez.

Responde para continuar

¿Qué nombre se vio con esa dirección por primera vez el 3 de febrero de 2028? Escribe el nombre completo.

La ventana entre la primera y la última vez da un orden de magnitud de cuánto estuvo activa una infraestructura. Calcúlala con las fechas de la primera dirección del nombre del reporte, contando los días entre ambas.

Responde para continuar

¿Cuántos días hay entre la primera y la última vez que se vio ese nombre con su primera dirección? Escribe solo el número.

En el filtro por dirección apareció también un servicio de imágenes de uso general, visto durante casi tres años y con cientos de miles de consultas. Comparte dirección con el nombre sospechoso.

Responde para continuar

¿Cómo se trata ese vínculo con el servicio de imágenes?

Como prueba de que el servicio de imágenes es malicioso, porque comparte dirección con el nombre reportado y por eso hay que bloquearlo ya Como un indicio que se contrasta con fechas, volumen y otras fuentes, porque una dirección compartida puede alojar nombres sin relación Como irrelevante, porque la dirección nunca sirve para relacionar nombres en el DNS pasivo y se ignora siempre

Ver pista de ayuda

Compara cuánto tiempo y cuánto volumen tiene cada nombre con esa dirección.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué es y qué no es

2 A dónde resolvía el nombre Lab

3 Otros nombres con la misma dirección Lab

4 Cuánto duró Lab

5 La dirección compartida con un servicio grande

Whoami-Labs Pro utiliza cookies