Detectar una acción fuera de lo normal en la nube

3 tareas · 25 min · Principiante

El servicio `IAM` (gestión de identidades y permisos) es, en cualquier proveedor de nube, el que más importa vigilar: quien controla IAM puede crear sus propias llaves de acceso o eliminar cuentas. Dos consultas reales filtran las acciones de IAM hechas por el usuario `desconocido`.

0 de 3 · 0%

Objetivo de la sala

consulta_1.sql filtra WHERE servicio = 'IAM' AND usuario = 'desconocido'.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log`, ¿desde qué IP se hicieron esas acciones de IAM del usuario `desconocido`? Escribe solo la IP.

Ver pista de ayuda

Es la misma IP en las dos filas de la primera tabla de resultado.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log` de la segunda consulta, ¿cuántos eventos en total (de cualquier servicio) dejó la IP `198.51.100.44`? Escribe solo el número.

Ver pista de ayuda

Es el valor de la columna `eventos` en el resultado.

Esa IP, en un fin de semana y fuera de la región habitual, hizo CreateAccessKey (crear una llave de acceso nueva) y después intentó DeleteUser (borrar un usuario de IAM), que AWS respondió con denegado.

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

¿Qué es lo más razonable que haga un equipo de seguridad al ver esta combinación (IP externa desconocida + región inusual + `CreateAccessKey` + intento de `DeleteUser`)?

Esperar a que el usuario `desconocido` vuelva a aparecer para confirmar el patrón antes de actuar Tratarlo como cuenta comprometida: revocar la llave creada e investigar cómo entró Nada, porque el intento de `DeleteUser` fue denegado y por lo tanto no representa ningún riesgo Borrar directamente todos los registros de `eventos_cloud` de esa IP para limpiar el historial

Ver pista de ayuda

El intento denegado es una buena noticia sobre ESE intento puntual, pero no dice nada sobre lo que ya se logró antes (`CreateAccessKey`, que sí respondió `ok`).

Entra para responder, guardar tu avance y ganar puntos.

Preparando la estación…

Objetivo: estacion-roble.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build b903d9

1 Quién tocó IAM Lab

2 Cuántos eventos dejó esa IP en total Lab

3 Qué hacer con esta combinación de señales

Whoami-Labs Pro utiliza cookies