Búsqueda de las acciones del Red Team en la consola del SIEM

3 tareas · 20 min · Principiante

Aprende a formular consultas de búsqueda en consolas SIEM corporativas para localizar las marcas de tiempo y procesos ejecutados por el equipo ofensivo.

0 de 3 · 0%

Objetivo de la sala

Aprende a formular consultas de búsqueda en consolas SIEM corporativas para localizar las marcas de tiempo y procesos ejecutados por el equipo ofensivo.

Al auditar la huella en entornos Microsoft Sentinel, la telemetría de eventos de seguridad de Windows se almacena en tablas estructuradas donde se pueden consultar los IDs estándar de auditoría avanzada.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el nombre de la tabla KQL de eventos de seguridad documentada en las consultas.

Ver pista de ayuda

Revisa el encabezado de la consulta KQL en kql_queries_sentinel.txt.

La creación de nuevos subprocesos con líneas de comandos sospechosas se audita bajo un código de evento específico de Windows Security Log.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el identificador del evento de creación de procesos registrado en el documento.

Ver pista de ayuda

Observa el valor del EventID en kql_queries_sentinel.txt.

Analiza qué comando de procesamiento de Splunk permite agregar el número de ejecuciones por host y usuario.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina la sintaxis de canalización utilizada en Splunk para consolidar métricas de ejecución.

Comando delete all para purgar los registros de la consola del analista Comando format disk para reiniciar el almacenamiento del indexador Comando stats count by para agregar eventos agrupados por host, usuario y línea de comandos Comando run script para desplegar software ofensivo en el servidor

Ver pista de ayuda

El comando stats en Splunk realiza cálculos agregados en canalizaciones.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: sentinel-hunt.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Tabla de Eventos en Microsoft Sentinel Lab

2 Identificador de Creación de Proceso Lab

3 Sintaxis de Agrupación en Splunk Lab

Whoami-Labs Pro utiliza cookies