Buscar un patrón de fallos en el registro de acceso

3 tareas · 30 min · Principiante

El registro `eventos_acceso` de Ferretería y Insumos El Roble SAS guarda cada intento de inicio de sesión: usuario, IP, si fue `OK` o `FALLO`, fecha y hora. Esta es la consulta que corre cualquier equipo de detección o de caza de amenazas: ¿alguna combinación de usuario e IP acumula más fallos de los normales?

0 de 3 · 0%

Objetivo de la sala

consulta_1.sql cuenta los FALLO de carla.ruiz desde la IP 203.0.113.77.

Esta tarea se hace en el laboratorio

Una terminal con los archivos del caso, aquí en la página. No instalas nada y no puedes romper nada.

Preparando la estación…

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Según `resultado.log`, ¿cuántos fallos tiene esa combinación exacta (usuario `carla.ruiz`, IP `203.0.113.77`)? Escribe solo el número.

Ver pista de ayuda

Es el valor de la columna `fallos` en la primera tabla de resultado.

La consulta agrupa por usuario, ip (GROUP BY usuario, ip), no solo por usuario.

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

¿Qué información se perdería si la consulta agrupara solo por `usuario`, sin incluir `ip`?

Se perdería la posibilidad de distinguir si los fallos vinieron de una sola IP o de varias Nada: `carla.ruiz` solo tiene una IP en todo el registro, así que el resultado sería igual La consulta contaría el doble de fallos de los que realmente hay `GROUP BY` no permite agrupar por más de una columna a la vez

Ver pista de ayuda

Si una persona falla cinco veces desde una IP y después entra bien desde otra, ¿cambia la conclusión agrupar las dos IP juntas o separarlas?

El registro muestra 6 fallos de carla.ruiz desde 203.0.113.77, una IP fuera del rango interno 10.20.0.0/16 de la ferretería, repartidos en dos días distintos.

Para responder aquí hace falta una cuenta

Puedes leer toda la sala sin cuenta. Responder y guardar tu avance pide entrar; al volver aterrizas en esta misma sala.

Responde para continuar

Con solo este dato (6 fallos desde una IP externa, en dos días), ¿qué es lo más razonable para un analista?

Ignorarlo, porque 6 fallos en total es un número bajo comparado con miles de eventos por día Bloquear la cuenta de `carla.ruiz` de forma permanente de inmediato, sin revisar nada más Cambiar la contraseña de todos los usuarios de la empresa como medida preventiva Marcarlo como un patrón a seguir (IP externa repetida) y cruzarlo con más datos antes de actuar

Ver pista de ayuda

Un patrón de fallos repetidos desde una IP externa es una señal para investigar más, no para actuar sobre toda la empresa ni para no hacer nada.

Entra para responder, guardar tu avance y ganar puntos.

Preparando la estación…

Objetivo: estacion-roble.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build b903d9

1 Contar los fallos de una combinación usuario + IP Lab

2 Por qué agrupar por usuario Y por IP

3 Qué decisión toma el analista con este dato

Whoami-Labs Pro utiliza cookies