Reglas de bajo ruido para estos patrones

2 tareas · 40 min · Principiante

0 de 2 · 0%

Crear reglas que alerten cada vez que se ejecute cmd.exe o powershell.exe satura al analista con miles de falsos positivos al día. La formulación de bajo ruido exige combinar selectores compuestos: por ejemplo, Image = powershell.exe condicionado estrictamente a ParentImage IN (winword.exe, excel.exe, acrobat.exe, w3wp.exe). Esta regla dispara casi cero eventos en operaciones benignas y posee una fidelidad cercana al 100% ante exploits.

Responde para continuar

¿Cómo se diseña una regla de detección de alta fidelidad y bajo ruido para el abuso de intérpretes de comandos?

Configurando la regla para que alerte únicamente si el archivo ejecutable se borra tras su uso Alertando sobre cualquier ejecución de calc.exe o notepad.exe en el sistema operativo Desactivando la regla durante los fines de semana para evitar que suenen alertas fuera de horario Condicionando la regla a procesos padre anómalos conocidos (como aplicaciones ofimáticas o servidores web) en lugar de alertar por el binario aislado

Ver pista de ayuda

Vincular el ejecutable a un proceso padre anómalo reduce el ruido a cero.

Verifica en process_tree_lolbins la ruta del ejecutable (image) invocado como proceso hijo anómalo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué ruta de archivo figura en la columna image para EVT-PROC-7701?

Ver pista de ayuda

Copia el valor de la columna image en la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Ingeniería de reglas de alta fidelidad basadas en relaciones padre-hijo

2 Ruta de la imagen ejecutada en el linaje malicioso Lab

Whoami-Labs Pro utiliza cookies