Curso 2 · Lab Final

Build, Break, Investigate & Defend

En este laboratorio construirás un entorno individual dentro de un tenant compartido, aplicarás una política de Infoblox Threat Defense a tu propio Endpoint, generarás evidencia, provocarás un cambio, investigarás el resultado y realizarás tuning con base en evidencia.

El objetivo no es solamente lograr que una política funcione. Debes ser capaz de explicar por qué produce determinado resultado.

OBSERVE ↓ CLASSIFY ↓ DECIDE ↓ ENFORCE ↓ VALIDATE ↓ TUNE

1. Escenario

Estás ejecutando una PoC de Infoblox Threat Defense.

Compartes el tenant con otros SEs que están realizando el mismo ejercicio. Cada participante dispone de:

una cuenta individual de acceso al Cloud Services Portal;
un Endpoint propio;
permisos limitados a los componentes necesarios para el laboratorio;
acceso de lectura a Security Activity y reportes;
capacidad para crear y modificar los objetos de Threat Defense necesarios para su ejercicio.

El tenant es compartido. Por esta razón, el aislamiento lógico del laboratorio es parte del ejercicio.

Tu primera responsabilidad no será bloquear tráfico.

¿Cuál es mi scope y cómo puedo asegurarme de que mis cambios afecten únicamente a mi Endpoint?

2. Reglas del entorno compartido

Todos los objetos que crees durante este laboratorio deberán incluir tu propio identificador.

Convención de nombres

LAB8_<usuario>_<tipo>_<propósito>

Utiliza como <usuario> la parte de tu correo electrónico anterior a @.

Por ejemplo, para:

francisco.osornio@empresa.com

los objetos podrían llamarse:

LAB8_francisco.osornio_ENDPOINTGROUP_Main
LAB8_francisco.osornio_POLICY_Main
LAB8_francisco.osornio_CUSTOMLIST_Block
LAB8_francisco.osornio_FILTER_Category

Sólo puedes crear, modificar o eliminar objetos que contengan tu propio identificador.

No modifiques:

Endpoint Groups de otros participantes;
Security Policies de otros participantes;
Custom Lists o Filters ajenos;
Default Global Policy;
objetos compartidos;
objetos creados por el instructor.

Tu cuenta de laboratorio utiliza principio de mínimo privilegio. No necesitas acceso a DHCP, IPAM, NIOS Administration, infraestructura, RBAC, usuarios, integraciones ni otras funciones administrativas del tenant.

IDENTITY ↓ SCOPE ↓ POLICY ↓ ENFORCEMENT

SCOPE BEFORE CONTROL

3. Parte 1 — Define primero tu scope

Paso 1. Crea tu Endpoint Group

Éste será el primer objeto que crearás.

LAB8_<usuario>_ENDPOINTGROUP_Main

No crees todavía ninguna Security Policy.

En este momento queremos construir primero el scope sobre el cual trabajaremos.

Paso 2. Asocia únicamente tu Endpoint

Identifica el Endpoint que te fue asignado y agrégalo a tu Endpoint Group.

Endpoint Group ↓ LAB8_<tu_usuario>_ENDPOINTGROUP_Main ↓ ÚNICAMENTE TU ENDPOINT

GATE 1 — Scope Validation

No continúes hasta comprobar:

El Endpoint Group utiliza mi identificador.
Mi Endpoint está dentro del grupo.
No existen endpoints de otros participantes dentro del grupo.
No estoy utilizando un Endpoint Group compartido.

Solicita validación del instructor antes de continuar.

Una policy perfectamente configurada aplicada al scope equivocado sigue siendo una mala implementación.

4. Parte 2 — Construye los objetos de decisión

Paso 3. Crea tu Custom List

Utiliza:

LAB8_<usuario>_CUSTOMLIST_Block

Agrega los indicadores o dominios definidos por el instructor para el ejercicio.

Paso 4. Crea los Filters requeridos

Si el escenario requiere Category Filters, Application Filters u otros filtros, utiliza la misma convención.

LAB8_<usuario>_FILTER_Category
LAB8_<usuario>_FILTER_Application

No reutilices filtros creados por otros participantes.

GATE 2 — Object Isolation

No continúes hasta comprobar:

Todas mis Custom Lists contienen mi identificador.
Todos mis Filters contienen mi identificador.
No modifiqué ningún objeto compartido.
Puedo explicar para qué servirá cada objeto.

Solicita validación del instructor antes de continuar.

5. Parte 3 — Diseña la política

Paso 5. Predice el resultado antes de configurar

Antes de crear la Security Policy, responde:

¿Qué comportamiento espero producir?

Utiliza el modelo del Bloque 2:

WHO ↓ POLICY ↓ MATCH ↓ PRECEDENCE ↓ WINNING RULE ↓ ACTION ↓ RESULT

Registra tu predicción:

Expected: __________

Paso 6. Crea tu Security Policy

LAB8_<usuario>_POLICY_Main

Construye la policy utilizando exclusivamente los objetos creados por ti durante las etapas anteriores.

Antes de aplicarla, revisa:

las reglas utilizadas;
orden y precedencia;
acción esperada;
Custom Lists y Filters asociados.

GATE 3 — Policy Validation

No continúes hasta comprobar:

La policy contiene mi identificador.
Utiliza únicamente mis objetos.
Entiendo la precedencia de las reglas.
Puedo identificar qué regla debería ganar.
Puedo explicar cuál debería ser la acción.

Solicita validación del instructor antes de continuar.

6. Parte 4 — Asocia control y scope

Paso 7. Asocia la Security Policy a tu Endpoint Group

Éste es uno de los puntos críticos del laboratorio.

Antes de realizar la asociación, vuelve a comprobar el contenido de tu Endpoint Group.

LAB8_<usuario>_POLICY_Main ↓ LAB8_<usuario>_ENDPOINTGROUP_Main ↓ TU ENDPOINT

GATE 4 — Enforcement Scope

Antes de generar tráfico, confirma:

La policy está asociada a mi Endpoint Group.
El Endpoint Group contiene únicamente mi Endpoint.
La policy no está asociada a un grupo ajeno.
Ningún objeto compartido fue modificado.

No generes tráfico de prueba hasta completar esta validación.

7. Parte 5 — Genera evidencia

Paso 8. Genera tráfico DNS

Desde tu Endpoint, genera las consultas definidas por el instructor.

No observes únicamente si “funciona” o “no funciona”.

Compara lo que habías predicho con lo que realmente ocurrió:

Expected: __________ Observed: __________

Por ejemplo:

Expected: BLOCK Observed: BLOCK

Expected: BLOCK Observed: ALLOW

Expected ≠ Observed no significa automáticamente que el producto haya fallado. Significa que hay algo que debemos explicar.

8. Parte 6 — Validate

Paso 9. Comprueba el resultado

Utiliza Security Activity y los reportes disponibles para buscar evidencia de tus consultas.

Intenta reconstruir:

WHO ↓ POLICY ↓ MATCH ↓ PRECEDENCE ↓ WINNING RULE ↓ ACTION ↓ RESULT

Debes poder responder:

¿Qué Endpoint generó la consulta?
¿Qué policy fue aplicada?
¿Con qué elemento hizo MATCH?
¿Qué regla ganó?
¿Qué acción produjo?
¿Cuál fue el resultado?

La configuración nos dice qué debería ocurrir. La evidencia nos dice qué ocurrió realmente.

9. Parte 7 — Break

Ahora introduciremos una condición que provoque un resultado diferente o que obligue a reconsiderar la decisión inicial.

El instructor indicará el cambio que deberá realizarse.

Puede consistir, por ejemplo, en:

modificar una precedencia;
introducir una excepción;
modificar una Custom List;
crear una condición de conflicto entre reglas;
alterar una condición que cambie el resultado.

No se indicará inmediatamente cuál será la consecuencia. Tu responsabilidad será predecirla.

Expected: __________ Observed: __________

10. Parte 8 — Investigate

Si:

Expected ≠ Observed

no empieces modificando cosas al azar.

Recorre el proceso hacia atrás:

¿Cuál fue el resultado? ↑ ¿Qué acción lo produjo? ↑ ¿Qué regla ganó? ↑ ¿Qué precedencia tenía? ↑ ¿Con qué hizo MATCH? ↑ ¿Qué policy estaba siendo aplicada? ↑ ¿A quién estaba siendo aplicada?

El objetivo no es concluir:

“Threat Defense hizo algo raro.”

El objetivo es poder afirmar:

“Puedo explicar por qué la política tomó esta decisión.”

11. Parte 9 — Tune

Paso 10. Decide qué cambiar

Antes de modificar la policy, clasifica tu siguiente acción:

NO ACTION MONITOR VALIDATE TUNE INVESTIGATE

Si decides hacer tuning, responde primero:

¿Qué evidencia justifica el cambio?

Modifica únicamente aquello que sea necesario.

Evita convertir tuning en:

“Crear una excepción hasta que funcione.”

El objetivo es que la política continúe representando correctamente tanto la intención de seguridad como la necesidad de negocio.

12. Parte 10 — Validate Again

Genera nuevamente el mismo tráfico y compara los resultados.

BEFORE TUNING Expected: __________ Observed: __________

AFTER TUNING Expected: __________ Observed: __________

Confirma nuevamente el resultado utilizando Security Activity.

El resultado esperado del laboratorio no es necesariamente BLOCK.

El resultado esperado es que puedas explicar:

WHAT HAPPENED + WHY IT HAPPENED + WHAT CHANGED + WHY THE NEW RESULT IS CORRECT

13. Parte 11 — Explain the Evidence

Ahora utilizarás una de las habilidades desarrolladas en el Bloque 6: explicar resultados y reportes con FRAME.

El tenant utilizado en este laboratorio es compartido. Por lo tanto, los reportes pueden contener actividad generada por múltiples participantes.

Tu tarea no es explicar todo el reporte. Tu tarea es identificar y explicar la evidencia relacionada con tu propio ejercicio.

Localiza, cuando sea posible:

tu Endpoint;
tu Security Policy;
tu Endpoint Group;
tus Custom Lists o Filters;
las consultas generadas durante tu prueba.

No atribuyas a tu Endpoint actividad que pertenece a otros participantes.

Aplica FRAME

F — Frame the Context ↓ R — Read the Signal ↓ A — Assess the Meaning ↓ M — Match the Audience ↓ E — End with Action

Explica el mismo resultado dos veces

Prepara una explicación para una audiencia técnica.

Debes explicar:

qué ocurrió;
qué policy estuvo involucrada;
qué acción se observó;
qué evidencia soporta tu conclusión;
qué todavía no puedes concluir.

Después prepara una segunda explicación orientada a un CISO o stakeholder ejecutivo.

Debes explicar:

qué significa el hallazgo;
cuál es el posible impacto;
si requiere atención inmediata o seguimiento;
qué acción recomendarías.

Controla tus conclusiones

WHAT I KNOW ↓ WHAT I INFER ↓ WHAT I STILL NEED

Un reporte compartido no invalida el ejercicio. Obliga al SE a distinguir señal, contexto y alcance.

14. Evidencia que debe entregar el participante

Al finalizar el ejercicio deberás poder mostrar evidencia de:

Endpoint Group propio ↓ Endpoint propio ↓ Custom List / Filters propios ↓ Security Policy propia ↓ Policy → Endpoint Group ↓ Security Activity ↓ Expected vs Observed ↓ Tuning ↓ Resultado final

También deberás poder responder verbalmente:

¿Qué ocurrió?
¿Por qué ocurrió?
¿Qué evidencia lo demuestra?
¿Qué cambiaste?
¿Por qué ese cambio era correcto?
¿Cómo explicarías el mismo resultado a una audiencia técnica?
¿Cómo lo explicarías a un stakeholder ejecutivo?

15. Cleanup

El laboratorio termina únicamente después de capturar la evidencia requerida.

Antes de eliminar objetos, confirma con el instructor.

Después limpia únicamente aquellos objetos que contengan tu identificador:

LAB8_<tu_usuario>_*

Nunca elimines un objeto cuyo propietario no puedas identificar.

Secuencia recomendada:

CAPTURE EVIDENCE ↓ INSTRUCTOR CHECK ↓ REMOVE ASSOCIATIONS ↓ DELETE PERSONAL OBJECTS ↓ VERIFY CLEANUP

16. Cierre del laboratorio

Si completaste correctamente el ejercicio, no sólo construiste una Security Policy.

Construiste un scope, aplicaste controles, generaste evidencia, provocaste un cambio, investigaste su causa, ajustaste la política y explicaste los resultados para distintas audiencias.

Éste es el punto central del Curso 2:

OBSERVE ↓ CLASSIFY ↓ DECIDE ↓ ENFORCE ↓ VALIDATE ↓ TUNE

SCOPE BEFORE CONTROL

Una política no es una configuración. Es una decisión que debe ser validada.