Cruzar usuarios y dispositivos sospechosos

3 tareas · 25 min · Principiante

`eventos_acceso` por sí solo no dice si un usuario debería poder entrar. Cruzarlo con `usuarios` (que sí tiene la columna `activo`) sí lo dice. Dos consultas: una busca accesos correctos de cuentas marcadas como inactivas; otra busca accesos que no vinieron de la red interna de la ferretería (`10.20.0.0/16`).

0 de 3 · 0%

Objetivo de la sala

consulta_1.sql junta eventos_acceso con usuarios y filtra usuarios.activo = 0 AND eventos_acceso.resultado = 'OK'.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log`, ¿qué usuario tuvo un acceso correcto (`OK`) a pesar de estar marcado como inactivo (`activo = 0`)? Escribe solo el nombre de usuario.

Ver pista de ayuda

Es la única fila de la primera tabla de resultado.

consulta_2.sql filtra WHERE ip NOT LIKE '10.20.%': cualquier IP que NO empiece por 10.20..

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log` de la segunda consulta, ¿qué IP usó `admin.soporte` para entrar un sábado a las 23:50, fuera de la red interna? Escribe solo la IP.

Ver pista de ayuda

Busca la fila con usuario `admin.soporte` en la segunda tabla de resultado.

Sin cruzar eventos_acceso con usuarios, la fila de jorge.pena se ve como un acceso correcto más, igual que cualquier otro.

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

¿Qué aporta exactamente el `JOIN` con `usuarios` en esta consulta, que no se podía ver mirando solo `eventos_acceso`?

Aporta la IP desde la que se conectó, que tampoco está en `eventos_acceso` Aporta el dato de que esa cuenta está inactiva, algo que no vive en `eventos_acceso` Aporta la hora exacta del acceso, que `eventos_acceso` no registra por sí sola No aporta nada nuevo: ambas tablas tienen exactamente las mismas columnas

Ver pista de ayuda

¿Qué columna existe en `usuarios` y NO existe en `eventos_acceso`?

Entra para responder, guardar tu avance y ganar puntos.

Preparando la estación…

Objetivo: estacion-roble.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build b903d9

1 Un acceso que no debería existir Lab

2 Accesos fuera de la red interna Lab

3 Por qué cruzar con `activo` cambia la lectura

Whoami-Labs Pro utiliza cookies