Línea de base de administradores frente a anómalos

2 tareas · 40 min · Principiante

0 de 2 · 0%

Los administradores de sistemas legítimos también usan PowerShell y herramientas nativas para tareas rutinarias. Diferenciar la administración legítima del abuso adversario exige modelar: 1) Cuenta de usuario (cuenta de servicio vs usuario final de contabilidad), 2) Estación de trabajo (servidor central de automatización vs portátil de ventas), y 3) Directorio de trabajo y argumentos (scripts versionados en repositorios vs comandos con flags ofuscados).

Responde para continuar

Al analizar ejecuciones de PowerShell, ¿qué factor apunta a actividad hostil y no a mantenimiento rutinario?

Invocación de Get-Service por parte de un administrador documentado en el registro de tareas Ejecución iniciada por la cuenta de un usuario final de finanzas con comandos de descarga web en segundo plano Ejecución de un script firmado por la empresa desde el servidor central de SCCM durante la ventana de mantenimiento Copia de seguridad nocturna programada en el programador de tareas del controlador de dominio

Ver pista de ayuda

Un usuario de oficina ejecutando scripts interactivos con descargas web ocultas.

Consulta en network_lolbins el valor registrado en la columna signer para certutil.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Quién figura como firmante (signer) del binario en network_lolbins?

Ver pista de ayuda

Observa el valor en la última columna de network_lolbins.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Desambiguación entre scripts de mantenimiento y actividad hostil

2 Firmante del binario certutil en la tabla Lab

Whoami-Labs Pro utiliza cookies