# Caso práctico · La cuenta de servicio que creó un administrador a las 04:03

Ruta: Analista de SOC. Empresa (ficticia): Logística Brumario Ejemplo, S. L.

## Antes de empezar

- Las columnas de hora de los ficheros están en UTC. Los tickets están en hora de Madrid (en junio, UTC+2).
- Todo es ficticio: empresa, equipos, cuentas y direcciones (rangos de documentación 192.0.2.0/24, 198.51.100.0/24 y 203.0.113.0/24, dominios .example).
- No ejecutes nada de lo que aparece en los ficheros. Son texto para leer.
- Es una autoevaluación: no hay corrección ni certificado asociado, y este caso no tiene solución publicada.

## Encargo

Eres analista de SOC de primer nivel en Logística Brumario Ejemplo, S. L., una empresa ficticia de transporte y almacenaje. Entras a trabajar el martes 16 de junio de 2026 y el turno de noche te deja una alerta sin resolver: durante la madrugada se ha creado una cuenta con privilegios en el controlador de dominio DC01, y coincide con una ventana de mantenimiento aprobada para esa misma máquina.

Tienes cinco fuentes exportadas entre las 15:00 UTC del lunes 15 y las 02:30 UTC del martes 16: la pasarela de correo, el EDR del equipo de contabilidad, el cortafuegos, el registro de Seguridad de DC01 y los tickets de cambio y de copia. También tienes el inventario de activos con su criticidad.

Tu trabajo es decidir si se cierra, se vigila o se escala; reconstruir qué pasó sin inventarte lo que los datos no dicen; proponer una contención que no destruya evidencia; y dejar una detección que atrape este comportamiento la próxima vez. Todo lo que no esté en los ficheros, no lo sabes.

## Qué hay que entregar

1. **Línea temporal en UTC.** Mínimo 10 entradas, cada una con su fuente, distinguiendo lo que forma parte del incidente de lo que no. (Tabla en Markdown o CSV)
2. **Ticket de triage.** Decisión en dos o tres frases, activos y cuentas implicados, qué descartas y por qué, y qué no has podido verificar. (Texto breve, máx. una página)
3. **Mapa ATT&CK con evidencia.** Una técnica por fase con su ID (y subtécnica si existe), la línea de datos que la respalda y la versión de ATT&CK que has consultado. (Tabla)
4. **Plan de contención.** Pasos en orden (máximo 8) y tres acciones que NO harías, con su motivo. (Lista numerada)
5. **Una detección propuesta.** Para el comportamiento «una cuenta de servicio crea una cuenta con privilegios»: regla en lenguaje natural o en Sigma, con un caso positivo, uno negativo y un hueco anotado. (Texto o YAML de Sigma)

Usa `plantilla-entrega.md` como punto de partida.

## Ficheros de este paquete

| Fichero | Qué es |
|---|---|
| `LEEME.md` | Encargo, reglas del caso y lista de ficheros. |
| `plantilla-entrega.md` | Plantilla vacía con la estructura de los cinco entregables. |
| `activos.csv` | Inventario de equipos con rol y criticidad. |
| `correo.csv` | Registro de la pasarela de correo (UTC). |
| `edr.csv` | Eventos de procesos del EDR (UTC). |
| `cortafuegos.csv` | Conexiones permitidas por el cortafuegos (UTC). |
| `dc01-seguridad.csv` | Eventos de Seguridad del controlador de dominio DC01 (UTC). |
| `tickets.txt` | Ticket de cambio y ticket de copia de seguridad (hora de Madrid). |

Tiempo estimado: Entre 90 y 150 minutos. Es una estimación nuestra, todavía sin medir con personas.

## Autoevaluación

La rúbrica con niveles de 0 a 3 y la autoevaluación guardada en tu navegador están en la página del caso (/rutas/ruta-soc-analyst/caso).