Eventos de Windows: de la pulverización al PowerShell codificado

Analista de SOC · Medio · unos 25 minutos · datos ficticios

eventos.csv reúne eventos de seguridad de Windows de un día (hora UTC, 11 de octubre de 2026): 4625 = inicio de sesión fallido, 4624 = inicio de sesión correcto y 4688 = creación de un proceso. Columnas: hora_utc, event_id, equipo, usuario, ip_origen, tipo_logon (2 = local, 3 = red, 10 = escritorio remoto), proceso y padre. Encuentra a quien probó contraseñas, cómo entró y qué lanzó. Usa grep, awk -F, sort y uniq.

0 de 6 retos resueltos

Retos

1.¿Cuántos eventos 4625 (inicio de sesión fallido) hay?
2.¿Qué IP de origen acumula más inicios de sesión fallidos?
3.Esa IP acabó entrando con éxito (evento 4624). ¿Con qué usuario?
4.¿Qué tipo de inicio de sesión (número) usó ese acceso correcto?
5.Después se lanzó un PowerShell con una orden codificada (-enc). ¿A qué hora (HH:MM:SS) se creó ese proceso?
6.¿Qué proceso padre lanzó ese PowerShell codificado?

Terminal

Es una terminal simulada en tu navegador: no ejecuta nada real ni envía datos. Admite tuberías (|) y estos comandos: ls, cat, head, tail, wc, sort, uniq, cut, grep, tr, sed, awk, echo, nl.