WMI, WinRM y blindaje de LSASS

Windows Remote Management (WinRM) es el protocolo de administración estándar de Microsoft sobre HTTP/HTTPS (puertos 5985 y 5986). A través de PowerShell Remoting (Enter-PSSession o herramientas como Evil-WinRM), un operador con credenciales válidas obtiene una consola remota interactiva. A diferencia de SMB, WinRM no deposita archivos ejecutables en el disco remoto ni crea servicios temporales en el registro, dejando una huella forense mucho más reducida.

Windows Management Instrumentation (WMI) permite la gestión de sistemas a través de RPC (puerto 135 y puertos dinámicos TCP). Mediante la clase Win32_Process y su método Create, un operador puede invocar comandos remotos (por ejemplo, con wmic o wmiexec.py). La ejecución ocurre en el contexto del proceso WmiPrvSE.exe, lo que exige a los analistas del SOC monitorizar los procesos hijos engendrados por este proveedor de instrumentación.

El proceso Local Security Authority Subsystem Service (lsass.exe) almacena en memoria los hashes NT, tickets Kerberos y credenciales de los usuarios que han iniciado sesión en el equipo. Herramientas como Mimikatz intentan abrir un manejador (PROCESS_VM_READ) sobre LSASS para leer esos secretos. Para impedirlo, Microsoft introdujo LSA Protection (RunAsPPL): configura a LSASS como un proceso protegido que solo puede ser leído o modificado por binarios firmados criptográficamente por Microsoft.

Para un blindaje absoluto en entornos empresariales se combinan dos controles: 1) Windows Defender Credential Guard: aísla los secretos en un contenedor virtualizado mediante seguridad basada en virtualización (VBS), haciendo que ni siquiera un administrador con privilegios de kernel pueda leer los hashes NTLM ni los tickets TGT de la memoria. 2) El grupo de seguridad 'Protected Users': impide el almacenamiento de contraseñas en texto claro, desactiva la autenticación NTLM y reduce la vida útil de los tickets Kerberos para sus miembros.