La CuevaBLUE TEAM
Redes·Network·Acceso gratuito

La conversación que no debía salir

Un equipo consulta un dominio nuevo cada minuto, pero una aplicación legítima también usa DNS.

NET-1012 · Consultas DNS periódicasP2 · 2 h4 fuentes de evidencia
PROTECTED CASECASE // Redes
▣
Networkevidence map
ALERTCONTEXTDECISION
PCAP · DNS logs · Inventario50–70 min

El caso antes de la herramienta

La evidencia tiene una secuencia.

Leé el contexto, ubicá la señal, formulá hipótesis y recién después decidí qué consulta, filtro o herramienta usar.

01 Señal02 Contexto03 Decisión
NivelN1 · Redes
AccesoLaboratorio gratuito
SLA inicialP2 · 2 h
DificultadInicial
Duración50–70 min
AfectadosPATIO-03 · Red de invitados
AlertaDNS: patrón periódico fuera de horario

El expediente

El equipo PATIO-03 aparece en un ticket de monitoreo porque resuelve api-metricas.example cada 60 segundos durante la madrugada. La empresa tiene una aplicación de analítica que genera consultas frecuentes, aunque el inventario no confirma si está instalada en ese equipo.

Teoría breve

En red, protocolo, dirección, puerto, timestamp y dispositivo de origen son hechos distintos. Correlacioná varias fuentes y distinguí una condición técnica de la explicación que todavía falta comprobar.

Objetivos

  • Leer origen, destino y protocolo.
  • Seguir una resolución DNS y su conexión posterior.
  • Comparar anomalía y uso legítimo.

Antes de empezar

  • Reconocer DNS, IP, puerto y flujo.
  • Conocer filtros básicos de Wireshark.

Plan de investigación

  1. 01Ordená consultas por activo y hora.
  2. 02Calculá intervalos aproximados y agrupá destinos.
  3. 03Compará con software y horario del activo.
  4. 04Escribí la acción mínima que aumentaría confianza.

Preguntas de investigación

  • ¿Quién consulta a quién y con qué protocolo?
  • ¿Qué rasgos del flujo son observables y cuáles son solo hipótesis?
  • ¿Qué filtro usarías para seguir la conversación en la captura?
  • ¿Qué evidencia pedirías antes de bloquear el dominio?
◎
Importante: una sospecha no es una conclusión. Separá siempre lo observado, lo inferido y lo que falta comprobar.

Competencias que se practican

Lectura de redesAnálisis PCAP
El progreso se calcula automáticamente con las tareas, la exploración y el informe final.

Contrato práctico del laboratorio

¿La conversación DNS fuera de horario es un beacon, una aplicación legítima o un reloj mal configurado?

Medir periodicidad, destino y contexto del tráfico DNS sin bloquear a ciegas.

v2026.08Revisado 2026-08-24Próxima revisión 2026-11-24

Tareas específicas · 40% del laboratorio

9%
Medir la cadencia

Separar consultas periódicas de ráfagas legítimas.

Evidencia: Tabla de intervalos y fuente.
11%
Nombrar el destino

Relacionar dominio, resolver y activo.

Evidencia: IOC con confianza y limitación.
11%
Comparar hipótesis

Evaluar beacon, software y reloj.

Evidencia: Hipótesis alternativas.
9%
Decidir sin bloquear

Proponer validación y acción proporcional.

Evidencia: Nota de decisión.

El 60% restante corresponde a exploración del entorno (10%), cuaderno de evidencia (10%), hipótesis (10%), próximo paso seguro (10%) e informe final (20%).

Fuentes con ruido y límites

network/dns-window.logCSV log · resolver corporativo

medir frecuencia y destinos

Ruido: consultas de telemetría del navegador · Falta: no incluye payload completo
network/pcap-dns-slice.pcapPCAP · sensor de red

correlacionar timestamps y tamaños

Ruido: hay NTP y actualizaciones · Falta: solo cubre 14 minutos
assets/wks-17.jsonJSON · CMDB

conocer software y horario esperado

Ruido: el usuario tiene una herramienta de soporte · Falta: no registra si estaba de guardia
tickets/net-1103.mdMarkdown · SOC

definir impacto y dueño

Ruido: la alerta fue repetida tres noches · Falta: no hay resolución DNS histórica

Trabajo final

Análisis de anomalía DNS

timeline + IOC table

Secciones esperadas

CadenciaDestinoContextoHipótesisDecisión
Tabla de IOC DNS con confianza y fuente.

Entorno controlado · solo lectura

Terminal de investigación

Explorá la imagen del caso con comandos escritos por vos. Encontrá datos en carpetas y archivos, correlacioná fuentes y construí tus propias respuestas. La imagen implementa consultas de observación del laboratorio; no ejecuta operaciones mutantes, red real ni procesos del equipo.

SAFE LAB45:00
Pregunta operativa¿La conversación DNS fuera de horario es un beacon, una aplicación legítima o un reloj mal configurado?
MisiónMedir periodicidad, destino y contexto del tráfico DNS sin bloquear a ciegas.
Herramientas en contexto
DNS logsPCAP sliceasset inventoryterminal de análisis
training-console/training/labs/N1/dns-fuera-de-horario

Imagen montada. Elegí tu propio método de investigación.

$

Zona de resolución · Seguir una conversación

Investigar antes de mirar la respuesta

El laboratorio se completa con evidencia y decisiones. El informe final aparece al final como tarea de cierre.

N1 · 0% completo
Progreso por tareas0%0/9 tareas verificadas
Comandos0%
Análisis0%
Investigación0%
Documentación0%
Autonomía30%
Exploración del entorno0 comandos · 0 archivos leídos
10%
Medir la cadenciaSeparar consultas periódicas de ráfagas legítimas.
9%
Nombrar el destinoRelacionar dominio, resolver y activo.
11%
Comparar hipótesisEvaluar beacon, software y reloj.
11%
Decidir sin bloquearProponer validación y acción proporcional.
9%
Observaciones verificablesFaltan campos de evidencia
10%
Hipótesis defendibleFalta explicar el porqué
10%
Próximo paso seguroFalta una acción reversible
10%
Informe finalSe aprueba desde 7/10
20%

Fuentes disponibles

Inventario del caso

Usá el índice del entorno y registrá hechos verificables, no etiquetas.

01PCAPrevisar
02DNS logsrevisar
03Inventariorevisar
04Ticketrevisar

Cuaderno de evidencia · 10%

Una observación debe poder repetirse

Completá los campos con una fuente del entorno. La tarea no se valida por marcar una casilla: se valida por la calidad mínima de la evidencia.

Tareas de investigación · 0/4 · 40% del laboratorio

Respondé para avanzar en el caso

Cada tarea tiene un objetivo propio y una ponderación distinta. La pista aparece solo después de dos intentos fallidos y orienta hacia la evidencia, sin revelar la conclusión.

Separar consultas periódicas de ráfagas legítimas.

Relacionar dominio, resolver y activo.

Evaluar beacon, software y reloj.

Proponer validación y acción proporcional.

Tarea final · 20%

Informe final de investigación

Completá el trabajo que otro analista podría recibir y revisar. La nota mínima para liberar este 20% es 7/10.

Pendiente · 7/10

Rúbrica de entrega

No alcanza con tener razón.

La revisión considera los cinco criterios que convierten una investigación en documentación laboral.

✓ 30% mapa de red✓ 25% filtros✓ 20% hipótesis✓ 15% alternativa legítima✓ 10% recomendación
Guardado local automático · el progreso se calcula por tareas.Ingresar para sincronizar →Reportar problema ↗

Después de resolver

La respuesta se desbloquea con tu entrega

Primero documentá tu hipótesis, decisiones y límites. Cuando el servidor confirme tu entrega, vas a poder comparar tu razonamiento con la guía del instructor.

LOCKED