Iniciar sesión

Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Escenario: el incidente del fin de semana

5 tareas · 40 min · Principiante

Lunes 21 de octubre de 2026, 08:00. En Ferretería y Insumos El Roble SAS, una empresa ficticia, sistemas pregunta si pasó algo raro el fin de semana. No hay una alerta armada ni un paso a paso: solo el registro de acceso, los hallazgos de vulnerabilidades y el registro de actividad en la nube, los mismos que usaste en toda la ruta. Lo que encuentres con tus propias consultas es lo que le vas a contar a sistemas. Se leen resultados ficticios; nada se ejecuta en el navegador.

0 de 5 · 0%

Objetivo de la sala

consulta_1.sql filtra el registro de acceso desde el sábado 20, fuera de la red interna.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log`, ¿qué IP se conectó correctamente (`OK`) como `admin.soporte` a las 23:50 del sábado, desde fuera de la red interna? Escribe solo la IP.

consulta_2.sql filtra los eventos de nube del mismo fin de semana, fuera de la región habitual.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log` de la segunda consulta, ¿desde qué IP se hicieron esos eventos de nube fuera de la región habitual? Escribe solo la IP.

consulta_3.sql busca el intento de DeleteUser.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log`, ¿qué resultado dio AWS a ese intento de `DeleteUser`? Escribe solo la palabra.

consulta_4.sql revisa los hallazgos del router-sede-norte.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log` de la cuarta consulta, ¿cuál es el CVE de severidad crítica que sigue `abierto` en `router-sede-norte`? Escríbelo tal como aparece.

Con las cuatro consultas ya corridas: un acceso válido de admin.soporte desde una IP externa (198.51.100.23) un sábado a las 23:50; tres eventos de IAM y S3 desde otra IP externa (198.51.100.44) fuera de la región habitual, incluida una CreateAccessKey que sí funcionó y un DeleteUser que AWS denegó; y un hallazgo crítico sin corregir en router-sede-norte (CVE-2025-60012), el único dispositivo de la red con salida directa a internet.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Con esta evidencia junta, ¿qué le reportas a sistemas como la explicación más probable y qué pides primero?

Que la cuenta de `admin.soporte` es la única responsable y hay que despedir a esa persona de inmediato Que como AWS denegó el `DeleteUser`, el incidente ya se resolvió solo y no requiere más seguimiento Que alguien entró por la vulnerabilidad del router, llegó a la cuenta de nube; pedir parchar y revocar la llave YA Que fue una coincidencia de dos eventos sin relación (un login y una IP de nube distinta) y que no hace falta ninguna acción esta semana

Ver pista de ayuda

Junta las cuatro piezas en una sola línea de tiempo: la vulnerabilidad sin corregir, el acceso fuera de horario, la llave de acceso creada y el intento denegado. ¿Qué explicación conecta las cuatro, y qué de eso sigue siendo un riesgo activo?

Entra para responder, guardar tu avance y ganar puntos.

Preparando la estación…

Objetivo: estacion-roble.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build b903d9

1 Quién entró desde fuera, el fin de semana Lab

2 Qué pasaba al mismo tiempo en la nube Lab

3 El intento que AWS rechazó Lab

4 El dispositivo que explica cómo pudo entrar Lab

5 Qué le dices a sistemas Lab

Whoami-Labs Pro utiliza cookies