Escenario: Correlación de un proceso y alertas en Sysmon

3 tareas · 38 min · Principiante

Un operador inexperto ejecutó una acción interactiva que provocó el aislamiento inmediato de un host en la red del cliente. Como especialista en evasión del Red Team, debes analizar la exportación forense de eventos de Sysmon y la alerta del EDR para reconstruir la secuencia cronológica exacta que delató la operación ante el equipo defensivo.

0 de 3 · 0%

Objetivo de la sala

Abre informe_incidente_endpoint.txt y sysmon_event_trace.txt en la consola del laboratorio con el entorno rt-telemetria-edr-escenario.

Examina los registros de Sysmon que acompañaron la detección. Debes identificar el identificador del proceso que originó el acceso anómalo hacia el proceso de seguridad local.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event_trace.txt, ¿cuál es el identificador numérico de proceso (SourceProcessId) que ejecutó el acceso sospechoso registrado en el Registro 1043?

Revisa los detalles técnicos del Registro 1043 en sysmon_event_trace.txt.

El evento de acceso a procesos documenta los derechos de acceso que el proceso solicitó al invocar la API del sistema operativo. Localiza la máscara hexadecimal que disparó la regla de detección heurística del sensor.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event_trace.txt, ¿qué valor hexadecimal exacto figura en el campo GrantedAccess del Registro 1043?

Inmediatamente después de la operación en memoria, el mismo proceso intentó establecer comunicación hacia el exterior para exfiltrar datos o reportar estado.

Inspecciona el Registro 1044 para determinar la dirección de red de destino contactada por el proceso evaluado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_event_trace.txt, ¿a qué dirección IP externa (DestinationIp) intentó conectarse el proceso en el Registro 1044?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: edr-investigator.solvex.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Identificación del proceso origen en la alerta EDR Lab

2 Análisis de privilegios solicitados en OpenProcess Lab

3 Trazabilidad de la conexión de red saliente Lab

Whoami-Labs Pro utiliza cookies