La CuevaBLUE TEAM
Preparación informática·Sistemas·Acceso gratuito

El equipo que nadie podía explicar

Una notebook lenta tiene un proceso desconocido y permisos que nadie documentó.

HELP-1007 · Notebook lenta y proceso desconocidoP3 · 1 día4 fuentes de evidencia
PROTECTED CASECASE // Preparación informática
▣
Sistemasevidence map
ALERTCONTEXTDECISION
Ticket · Inventario · Procesos35–45 min

El caso antes de la herramienta

La evidencia tiene una secuencia.

Leé el contexto, ubicá la señal, formulá hipótesis y recién después decidí qué consulta, filtro o herramienta usar.

01 Señal02 Contexto03 Decisión
NivelN0 · Preparación informática
AccesoLaboratorio gratuito
SLA inicialP3 · 1 día
DificultadInicial
Duración35–45 min
AfectadosCOMPRAS-07 · Usuario de Compras
AlertaEndpoint: proceso no reconocido

El expediente

Asteria Logistics recibe el ticket HELP-1007: LAP-FIN-042 está lenta desde la mañana. Lucía Ferrer menciona una carpeta llamada _backup_old y un proceso llamado sync-helper, pero no sabe si forman parte del equipo. No hay indicios suficientes para afirmar un incidente.

Teoría breve

Empezá por inventariar el activo, el usuario, la ruta y el tiempo. Una anomalía operativa no demuestra por sí sola un incidente: separá capacidad, actividad observada e hipótesis antes de recomendar cambios.

Objetivos

  • Identificar un activo y su contexto.
  • Distinguir observación de conclusión.
  • Documentar rutas, procesos y permisos.

Antes de empezar

  • Saber usar un explorador de archivos.
  • Reconocer usuario, proceso y carpeta.

Plan de investigación

  1. 01Empezá por el ticket y fijá el alcance.
  2. 02Explorá el snapshot sin asumir que el nombre del proceso explica su intención.
  3. 03Correlacioná ruta, usuario, permisos y horario.
  4. 04Escribí una conclusión limitada y un próximo paso verificable.

Preguntas de investigación

  • ¿Qué datos mínimos del equipo y del usuario registrarías primero?
  • ¿Qué diferencia hay entre un proceso desconocido y un proceso malicioso?
  • ¿Qué permisos y rutas revisarías sin modificar nada?
  • ¿Qué próximo paso seguro dejarías documentado para otro analista?
◎
Importante: una sospecha no es una conclusión. Separá siempre lo observado, lo inferido y lo que falta comprobar.

Competencias que se practican

Sistemas y archivosTerminal y permisos
El progreso se calcula automáticamente con las tareas, la exploración y el informe final.

Contrato práctico del laboratorio

¿Qué activo, usuario y proceso explican la lentitud sin convertir una señal en incidente?

Construir un inventario mínimo reproducible de COMPRA-07 y separar síntomas operativos de hipótesis de seguridad.

v2026.08Revisado 2026-08-24Próxima revisión 2026-11-24

Tareas específicas · 40% del laboratorio

9%
Delimitar el activo

Fijar equipo, usuario, ventana y síntoma.

Evidencia: Inventario con fuente y timestamp.
11%
Seguir el proceso

Relacionar sync-helper con su ruta y usuario.

Evidencia: Cadena padre-hijo y dato faltante.
11%
Medir exposición

Distinguir permiso heredado de uso comprobado.

Evidencia: Tabla de capacidad versus actividad.
9%
Cerrar sin adivinar

Proponer una consulta segura y reversible.

Evidencia: Próximo paso con limitación explícita.

El 60% restante corresponde a exploración del entorno (10%), cuaderno de evidencia (10%), hipótesis (10%), próximo paso seguro (10%) e informe final (20%).

Fuentes con ruido y límites

case/help-1007.jsonJSON · mesa de ayuda

delimitar síntoma, activo y horario

Ruido: dos campos opcionales están vacíos · Falta: no incluye una captura del usuario
endpoint/process-snapshot.txtTXT · agente de endpoint

relacionar procesos, usuario y consumo

Ruido: hay un indexador legítimo junto a sync-helper · Falta: falta el árbol padre completo
filesystem/backup-old-acl.txtACL · file server

ubicar ruta y permisos de la carpeta

Ruido: la carpeta tiene una herencia antigua · Falta: no prueba que alguien haya leído datos
ticket/help-1007.mdMarkdown · soporte

comparar relato y observables

Ruido: el horario del ticket no coincide con una línea · Falta: falta confirmación del dueño del equipo

Trabajo final

Ficha de inventario defendible

inventario + nota de triage

Secciones esperadas

Activo y alcanceObservablesHipótesisDato faltantePróximo paso
Pieza privada de portfolio: inventario de endpoint sanitizado.

Entorno controlado · solo lectura

Terminal de investigación

Explorá la imagen del caso con comandos escritos por vos. Encontrá datos en carpetas y archivos, correlacioná fuentes y construí tus propias respuestas. La imagen implementa consultas de observación del laboratorio; no ejecuta operaciones mutantes, red real ni procesos del equipo.

SAFE LAB45:00
Pregunta operativa¿Qué activo, usuario y proceso explican la lentitud sin convertir una señal en incidente?
MisiónConstruir un inventario mínimo reproducible de COMPRA-07 y separar síntomas operativos de hipótesis de seguridad.
Herramientas en contexto
terminal de solo lecturaexplorador de archivosinventario de procesos
training-console/training/labs/N0/equipo-sin-inventario

Imagen montada. Elegí tu propio método de investigación.

$

Zona de resolución · Observar, nombrar y ubicar

Investigar antes de mirar la respuesta

El laboratorio se completa con evidencia y decisiones. El informe final aparece al final como tarea de cierre.

N0 · 0% completo
Progreso por tareas0%0/9 tareas verificadas
Comandos0%
Análisis0%
Investigación0%
Documentación0%
Autonomía30%
Exploración del entorno0 comandos · 0 archivos leídos
10%
Delimitar el activoFijar equipo, usuario, ventana y síntoma.
9%
Seguir el procesoRelacionar sync-helper con su ruta y usuario.
11%
Medir exposiciónDistinguir permiso heredado de uso comprobado.
11%
Cerrar sin adivinarProponer una consulta segura y reversible.
9%
Observaciones verificablesFaltan campos de evidencia
10%
Hipótesis defendibleFalta explicar el porqué
10%
Próximo paso seguroFalta una acción reversible
10%
Informe finalSe aprueba desde 7/10
20%

Fuentes disponibles

Inventario del caso

Usá el índice del entorno y registrá hechos verificables, no etiquetas.

01Ticketrevisar
02Inventariorevisar
03Procesosrevisar
04Permisosrevisar

Cuaderno de evidencia · 10%

Una observación debe poder repetirse

Completá los campos con una fuente del entorno. La tarea no se valida por marcar una casilla: se valida por la calidad mínima de la evidencia.

Tareas de investigación · 0/4 · 40% del laboratorio

Respondé para avanzar en el caso

Cada tarea tiene un objetivo propio y una ponderación distinta. La pista aparece solo después de dos intentos fallidos y orienta hacia la evidencia, sin revelar la conclusión.

Fijar equipo, usuario, ventana y síntoma.

Relacionar sync-helper con su ruta y usuario.

Distinguir permiso heredado de uso comprobado.

Proponer una consulta segura y reversible.

Tarea final · 20%

Informe final de investigación

Completá el trabajo que otro analista podría recibir y revisar. La nota mínima para liberar este 20% es 7/10.

Pendiente · 7/10

Rúbrica de entrega

No alcanza con tener razón.

La revisión considera los cinco criterios que convierten una investigación en documentación laboral.

✓ 30% inventario✓ 25% evidencia✓ 20% razonamiento✓ 15% preservación✓ 10% comunicación
Guardado local automático · el progreso se calcula por tareas.Ingresar para sincronizar →Reportar problema ↗

Después de resolver

La respuesta se desbloquea con tu entrega

Primero documentá tu hipótesis, decisiones y límites. Cuando el servidor confirme tu entrega, vas a poder comparar tu razonamiento con la guía del instructor.

LOCKED