Redacción de reglas Sigma y KQL para dos brechas críticas

3 tareas · 20 min · Principiante

Formula y valida en el catálogo dos reglas de detección duraderas para mitigar movimientos laterales por WinRM y cegado de sensores ETW.

0 de 3 · 0%

Objetivo de la sala

Formula y valida en el catálogo dos reglas de detección duraderas para mitigar movimientos laterales por WinRM y cegado de sensores ETW.

Para cerrar el vector de administración remota anómala identificado en la campaña, los ingenieros redactaron una regla Sigma orientada a subprocesos sospechosos.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el identificador de la firma de movimiento lateral en catalogo_reglas_sigma_kql_final.txt.

Ver pista de ayuda

Consulta el identificador de la regla 1 en el catálogo final.

La manipulación o parcheo de funciones en memoria para inhabilitar el rastreo de eventos (ETW patching) se detecta mediante inspección de llamadas al sistema.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el identificador de la regla de detección de evasión registrada en el catálogo.

Ver pista de ayuda

Revisa la última línea de catalogo_reglas_sigma_kql_final.txt.

¿Por qué es indispensable someter las nuevas reglas a un período de observación de 72 horas contra el tráfico normal de producción antes de activarlas como alertas críticas?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina el objetivo del período de observación en la ingeniería de detección.

Para esperar a que los servidores se enfríen después de las pruebas Para que el sistema operativo Windows actualice sus fondos de pantalla Para permitir que el consultor ofensivo termine su jornada laboral Para verificar que tareas administrativas habituales de la empresa no disparen falsos positivos que saturen y desgasten a los analistas del SOC

Ver pista de ayuda

Probar 72 horas confirma que las reglas no generan falsos positivos ruidosos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exam2-sigma.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Firma de Movimiento Lateral por WinRM Lab

2 Firma de Evasión y Cegado de Sensores Lab

3 Validación Contra Línea Base Lab

Whoami-Labs Pro utiliza cookies