Laboratorio de ITDR
Haz el triaje de un flujo de señales de identidad: nombra el ataque (o márcalo como benigno) y elige la contención.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La identidad es el nuevo perímetro, y un ataque de identidad se esconde en una línea de un flujo de inicios de sesión lleno de ruido. Este laboratorio de Identity Threat Detection & Response (ITDR) en el navegador te da un flujo de unos 18 eventos de señales de identidad decodificados; en cada uno decides si es benigno o nombras el ataque: viaje imposible, fatiga de MFA (push bombing), abuso de tokens OAuth (concesión de consentimiento ilícita y reutilización de tokens), reactivación de una cuenta inactiva, password spray, anomalía de escalada de privilegios o concesión de roles, MFA desactivada o manipulación de métodos, y aserciones golden SAML falsificadas. Después eliges la contención: reautenticación reforzada (step-up) y restablecimiento de credenciales, revocar sesiones/tokens, deshabilitar la cuenta, abrir un caso de respuesta a incidentes o dejar en paz un evento benigno. El crédito completo exige la detección y la respuesta correctas, y se te califica por la tasa de detección frente a los falsos positivos: marcar actividad normal (un salto geográfico por VPN, una renovación normal de token, una concesión de rol con ticket, un uso autorizado de break-glass) conlleva una penalización adicional. Todas las señales se leen contra una ventana fija y, tras la calificación, cada evento explica por qué esa detección y esa respuesta son las correctas. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee cada evento del flujo de señales de identidad.
- Decide si es benigno o qué ataque de identidad es.
- Elige la respuesta: step-up, revocar, deshabilitar o abrir un caso de respuesta a incidentes.
- Revisa tu tasa de detección frente a los falsos positivos y la explicación de cada evento.
Preguntas frecuentes
¿Qué es el laboratorio de ITDR?
Un ejercicio de Identity Threat Detection & Response en el navegador. Lees un flujo de eventos de señales de identidad decodificados (geografía y velocidad de los inicios de sesión, IP/ASN de salida, postura del dispositivo, solicitudes y aprobaciones de MFA, cambios en la información de seguridad y en los métodos de MFA, consentimientos y flujos de tokens OAuth, concesiones de roles de directorio y aserciones SAML) y en cada evento tomas dos decisiones: qué ataque de identidad es (o si es benigno) y cuál es la respuesta correcta. Se te puntúa por cuántos ataques reales detectas y contienes correctamente frente a cuántos eventos benignos marcas por error.
¿Qué ataques de identidad cubre?
Viaje imposible, fatiga de MFA / push bombing, abuso de tokens OAuth (tanto concesiones de consentimiento ilícitas a aplicaciones maliciosas como reutilización de tokens robados), reactivación de cuentas inactivas, password spray, anomalías de escalada de privilegios / concesión de roles, MFA desactivada o manipulación de métodos como persistencia tras una toma de cuenta, y aserciones golden SAML falsificadas. A lo largo del flujo se intercalan eventos benignos, incluidas trampas deliberadas de falsos positivos como saltos geográficos por VPN/CGNAT, la rotación normal de refresh tokens, concesiones de roles con ticket dentro de la ventana prevista y el uso autorizado de break-glass durante un incidente declarado.
¿Cómo se califica?
Cada evento tiene una detección correcta y una respuesta correcta, y el crédito completo exige ambas: detectar el ataque es la mitad del trabajo y elegir la contención correcta (step-up, revocar, deshabilitar o abrir un caso de respuesta a incidentes) es la otra mitad. Los falsos positivos (marcar un evento benigno como ataque) tienen una penalización adicional de higiene, porque una cola de alertas de identidad en la que los equipos de respuesta no pueden confiar es tan inútil como una que no detecta ataques. Una ronda perfecta acierta exactamente cada evento, también los benignos.
¿Se conecta a mi proveedor de identidad?
No. No se sube nada y no se toca ningún IdP, directorio ni log real. Los eventos son instantáneas realistas de señales de identidad decodificadas, redactadas a mano e incluidas en la página, y cada decisión se toma contra una única ventana fija, así que el flujo es determinista y nunca se queda desfasado. Se ejecuta por completo en tu navegador: sin instalación y sin enviar nada a ningún sitio.
¿Para quién es?
Para analistas de SOC, ingenieros de identidad y acceso y equipos de detección y respuesta que hacen el triaje del riesgo de inicio de sesión y de los eventos de directorio, y para quien prepara una entrevista de seguridad y quiere entender por qué un viaje imposible implica revocar, una avalancha de MFA sin respuesta implica step-up, un método de MFA desactivado implica deshabilitar la cuenta y un password spray o un evento golden SAML implican abrir un caso de respuesta a incidentes, y por qué un salto geográfico por VPN o una concesión de rol con ticket no son ningún hallazgo.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.