Ingeniero de Detección

Pregunta de muestra 1

En Solvent Bank, el ingeniero de detección Marcus revisa cuatro desviaciones que el pipeline de detección de anomalías de red marcó esta semana en el segmento de procesamiento de transacciones: un servidor de base de datos que hace tres noches comenzó a emitir señales periódicas (beaconing) hacia una única dirección IP externa no reconocida cada 58 segundos; una estación de trabajo de mercadotecnia que generó un pico breve de tráfico HTTP saliente durante la transmisión en vivo del lanzamiento de un producto; un servidor de respaldo que envía su habitual transferencia mensual de gran volumen al destino de replicación externo en la fecha programada; y una laptop de desarrollador que resuelve consultas DNS de una herramienta SaaS que TI aprobó la semana pasada. Marcus solo tiene tiempo de escalar un elemento hoy. ¿Cuál debe tratar como actividad de red anómala que amerita investigación inmediata?

1. A.El pico de tráfico HTTP de la estación de trabajo de mercadotecnia durante la transmisión en vivo, ya que cualquier aumento repentino en el volumen de tráfico saliente desde un solo equipo es la señal más fuerte de compromiso que el pipeline puede arrojar.
2. B.La transferencia mensual del servidor de respaldo hacia el destino de replicación, ya que las transferencias recurrentes de gran volumen hacia un destino con salida al exterior implican más riesgo que una conexión de bajo volumen y merecen revisión prioritaria.
3. C.Las consultas de la laptop del desarrollador hacia la herramienta SaaS recién aprobada, ya que un dominio que el entorno no había visto antes es el indicador más claro de que el pipeline identificó algo que vale la pena escalar.
4. D.Las señales periódicas del servidor de base de datos, emitidas a intervalos regulares hacia una dirección externa no atribuida, ya que nada en su función establecida ni en su historial explica una conexión nueva y persistente hacia un destino no aprobado que apareció esta semana.

Pregunta de muestra 2

Un ingeniero de detección en una empresa de logística está haciendo el triaje de cuatro alertas que se dispararon dentro de la misma ventana de 20 minutos. Alerta 1: una alerta del gateway de correo electrónico que indica que un usuario recibió un mensaje de phishing con un archivo adjunto que contenía una macro maliciosa, el cual el usuario eliminó sin abrirlo. Alerta 2: una alerta del EDR, abierta hace dos días y aún sin resolver, por un proceso sospechoso de PowerShell generado por Word en la máquina de otro usuario sin relación con el primero. Alerta 3: una alerta de red por un endpoint que ha estado emitiendo señales periódicas (beaconing) hacia un dominio externo nunca antes visto, cada 60 segundos desde esa mañana. Alerta 4: una alerta del EDR, con marca de tiempo de hace cuatro minutos, que indica que un archivo comprimido de aproximadamente 2 GB se acaba de crear en una carpeta temporal de ese mismo endpoint con beaconing, coincidiendo con un pico de tráfico saliente hacia ese dominio externo. Dada la capacidad limitada de respuesta inmediata, ¿sobre cuál alerta debe actuar primero el ingeniero?

1. A.La alerta 1, porque la entrega de phishing corresponde al punto más temprano de la cadena de ataque; suele considerarse que interrumpir una intrusión en la etapa más temprana disponible es la respuesta de mayor valor antes de comprometer recursos en otra alerta.
2. B.La alerta 4, porque la creación del archivo comprimido y el pico de tráfico saliente en el host con beaconing indican que el atacante ya llegó a la etapa de acciones sobre objetivos, y es posible que en este momento se estén exfiltrando datos de la red.
3. C.La alerta 2, porque un proceso sospechoso de PowerShell generado desde Word apunta a una explotación inicial, situación que muchos analistas priorizarían por encima de una alerta de beaconing en la capa de red por sí sola.
4. D.La alerta 3, porque un patrón nuevo de beaconing representa la etapa de comando y control, y detener un canal de comando y control activo es, para buena parte de los equipos de respuesta, la acción que debe priorizarse por encima de otras alertas concurrentes.

Pregunta de muestra 3

Un ingeniero de detección en un banco regional investiga una presunta apropiación de cuenta. Los logs del proveedor de identidad confirman que el usuario completó exitosamente la autenticación multifactor desde una laptop de la empresa en Ohio a las 9:02 a. m. Dos minutos después, el servidor de recursos acepta una solicitud de API que porta el token de acceso OAuth de esa sesión, pero la solicitud se origina desde una dirección IP en Vietnam con una huella de dispositivo que no coincide con la laptop, y los logs del IdP no muestran ningún inicio de sesión nuevo en ese momento. ¿Qué regla de detección es la más adecuada para identificar esta técnica específica?

1. A.Marcar cualquier cuenta con más de cinco intentos fallidos de MFA en un minuto, porque ese patrón suele indicar adivinación de credenciales por fuerza bruta y no una sesión activa robada.
2. B.Marcar cualquier cuenta que envíe dos solicitudes de restablecimiento de contraseña dentro de una ventana móvil de 24 horas, porque los restablecimientos repetidos suelen seguir a una campaña exitosa de credential stuffing.
3. C.Marcar el uso de un token de acceso desde un dispositivo o contexto de red incongruente con la sesión que lo emitió, porque esa discrepancia indica un token robado que se reutiliza sin una nueva autenticación.
4. D.Marcar los inicios de sesión que ocurren desde dos ubicaciones geográficamente distantes dentro de una ventana de tiempo menor a la que el viaje permitiría, porque ese patrón de viaje imposible indica una credencial compartida o robada.