# Entrega · La cuenta de servicio que creó un administrador a las 04:03

Caso: Logística Brumario Ejemplo, S. L. (empresa ficticia). Ruta: Analista de SOC.

- Alias o nombre:
- Fecha de la entrega:
- Tiempo dedicado:
- Herramientas y versiones que has usado:

> Escribe con tus palabras y solo con los datos del paquete del caso. Si algo no se puede saber con esos datos, dilo.

## 1. Línea temporal en UTC

*Tabla en Markdown o CSV*

- [ ] Hora UTC
- [ ] Fuente (fichero y línea)
- [ ] Qué ocurre
- [ ] ¿Forma parte del incidente? Sí / No / No lo sé, y por qué

(escribe aquí)

## 2. Ticket de triage

*Texto breve, máx. una página*

- [ ] Decisión: cerrar, vigilar o escalar
- [ ] Activos y cuentas implicados
- [ ] Qué descartas y por qué
- [ ] Qué no has podido verificar
- [ ] Prioridad y motivo

(escribe aquí)

## 3. Mapa ATT&CK con evidencia

*Tabla*

- [ ] Fase observada
- [ ] ID y nombre de la técnica
- [ ] Evidencia (fichero y línea)
- [ ] Versión de ATT&CK y fecha de consulta

(escribe aquí)

## 4. Plan de contención

*Lista numerada*

- [ ] Pasos en orden (máx. 8) con responsable
- [ ] Qué evidencia preservas y cómo
- [ ] Tres acciones que no harías y por qué

(escribe aquí)

## 5. Una detección propuesta

*Texto o YAML de Sigma*

- [ ] Regla (texto o Sigma)
- [ ] Caso positivo sacado de los datos
- [ ] Caso negativo (qué no debe saltar)
- [ ] Un hueco: qué escaparía a la regla

(escribe aquí)

## Autoevaluación (rellénala al final)

| Criterio | Nivel (0-3) | Dónde está la prueba en tu entrega |
|---|---|---|
| Línea temporal | | |
| Decisión de triage | | |
| Mapa ATT&CK con evidencia | | |
| Contención y evidencia | | |
| Detección propuesta | | |

Autoevaluación orientativa: no hay corrección ni certificado asociado.