Identificación de LOLBins en los registros de línea de comandos

Abre deteccion_sigma_lolbins.txt en la consola del laboratorio con el entorno rt-lolbins-guia.

Para que el equipo defensivo pueda detectar el abuso de herramientas nativas, es indispensable que la política de auditoría de Windows tenga activada la opción de inclusión de la línea de comandos en el evento de creación de procesos (Event ID 4688 con Process Creation Command Line activado).

Revisa el apartado de reglas de detección en deteccion_sigma_lolbins.txt.

Los ingenieros de detección configuran alertas que buscan palabras clave y argumentos específicos dentro del comando ejecutado que no tienen justificación en la operativa habitual de un usuario final.

Otro vector clave de detección es el comportamiento de red. En una red empresarial convencional, la inmensa mayoría de las utilidades nativas de administración local nunca establecen conexiones salientes hacia internet.

Si los registros de Sysmon (Event ID 3) o el cortafuegos del host detectan que una utilidad de gestión de certificados o un ejecutor de scripts inicia una conexión TCP hacia una dirección IP pública no corporativa, se dispara una alerta de alta severidad.