PRON5 · SOC L2 · P1 · 30 min
PowerShell en la carpeta pública
Sysmon muestra PowerShell codificado lanzado por un proceso web en un servidor expuesto.
SysmonProcess treeHTTP logsHash
Ver programa →Expedientes de investigación
Casos para pensar como analista.
No hay banderas escondidas. Hay tickets, evidencias incompletas, datos irrelevantes, SLA y decisiones que tenés que justificar. La biblioteca recorre siete niveles: desde la base informática hasta SOC L3.
◎
Cómo se trabaja: leés el contexto, entrás al entorno seguro, respondés preguntas con evidencia y cerrás con un informe profesional. Hay cuatro expedientes gratuitos —dos de Nivel 0 y dos de Nivel 1— para conocer el método; el resto forma parte de Pro.
Niveles de práctica
PRON5 · SOC L2 · P1 · 30 min
La tarea que volvió después del reinicio
Un proceso eliminado reaparece tras reiniciar el equipo gracias a una tarea programada.
Task XMLEvent logsAutorunsHash
Ver programa →PRON5 · SOC L2 · P1 · 30 min
El mapa del dominio
Una reverse shell ejecuta comandos de descubrimiento en un servidor expuesto.
Process treeAD commandsWeb logsHost data
Ver programa →PRON5 · SOC L2 · P2 · 2 h
El pulso que sale por DNS
Un endpoint consulta un subdominio con alta entropía cada 60 segundos.
DNS logsZeekPCAPAsset context
Ver programa →PRON5 · SOC L2 · P1 · 30 min
El cambio de cuenta del proveedor
Un buzón comprometido solicita cambiar la cuenta bancaria de un proveedor.
M365 auditMail headersRulesRecipients
Ver programa →