Auditoría de registros de Sysmon para confirmar ausencia de alertas críticas

Abre plan_operativo_simulacro.txt en la consola del laboratorio con el entorno rt-simulacro1-guia.

En coordinación con la White Cell, el equipo ofensivo comprueba que la ejecución del runner no haya producido eventos de inyección remota (Sysmon ID 8) ni intentos sospechosos de acceso a procesos protegidos (Sysmon ID 10 con privilegios totales).

Revisa los datos de la estación objetivo en plan_operativo_simulacro.txt.

Para documentar formalmente la desconflicción con los supervisores del ejercicio, se asienta en la bitácora técnica el nombre del equipo corporativo comprometido.

Antes de avanzar hacia las etapas de persistencia o movimiento lateral, el protocolo de la operación exige realizar una pausa de sincronización con la White Cell.

Comprobar que el SOC del cliente no ha emitido tickets de incidente ni aislado el host permite certificar el éxito del simulacro de acceso inicial con la máxima calificación de sigilo operativo.