Detección de accesos a LSASS en registros de Sysmon

3 tareas · 40 min · Principiante

Evalúa los eventos de Sysmon recolectados durante la simulación de volcado de credenciales en memoria para comprobar qué regla del EDR catalogó la anomalía y el nivel de severidad asignado.

0 de 3 · 0%

Objetivo de la sala

Evalúa los eventos de Sysmon recolectados durante la simulación de volcado de credenciales en memoria para comprobar qué regla del EDR catalogó la anomalía y el nivel de severidad asignado.

Consulta triaje_lsass_sysmon_caso.txt en rt-examen-bloque-2-persistencia-guia y anota la regla EDR.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según triaje_lsass_sysmon_caso.txt, ¿cuál es la Regla EDR Detonada en Examen?

Ver pista de ayuda

Revisa la penúltima línea del archivo.

Examina la última línea de triaje_lsass_sysmon_caso.txt para anotar la constante de severidad.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según triaje_lsass_sysmon_caso.txt, ¿cuál es la Métrica de Severidad Confirmada?

Ver pista de ayuda

Localiza la última línea del archivo.

Identifica qué parámetro del evento Sysmon provocó la detonación de la regla de defensa.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué atributo de la llamada a OpenProcess activó la alerta crítica en el EDR?

La resolución de un nombre de host DNS El movimiento del cursor del ratón La solicitud de la máscara GrantedAccess 0x1010 con permisos de lectura de memoria sobre lsass.exe El cambio de resolución de pantalla

Ver pista de ayuda

La máscara 0x1010 indica lectura del espacio de memoria virtual de LSASS.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exam-eval-station.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Regla de EDR detonada en el examen Lab

2 Métrica de severidad confirmada Lab

3 Significado forense de la regla de detección Lab

Whoami-Labs Pro utiliza cookies