Registro de eventos de bloqueo de AppLocker: Event ID 8002, 8004

3 tareas · 38 min · Principiante

Las decisiones de AppLocker no son invisibles: cada vez que una aplicación es permitida o bloqueada, el servicio genera un evento detallado en los canales de registro del sistema operativo. Monitorear estos eventos permite al SOC detectar intentos repetidos de ejecución de herramientas no autorizadas.

0 de 3 · 0%

Objetivo de la sala

Abre rutas_escribibles_y_eventos.txt en la consola del laboratorio con el entorno rt-applocker-wdac-guia.

Los eventos generados por AppLocker se almacenan en canales dedicados dentro del visor de eventos (Microsoft-Windows-AppLocker), separados según el tipo de archivo evaluado (ejecutables, librerías DLL, scripts o instaladores de Windows).

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Dónde se consultan las decisiones tomadas por las directivas de AppLocker en Windows?

En el panel de control de sonido del equipo En los canales dedicados del registro de eventos bajo Microsoft-Windows-AppLocker En el archivo hosts de la máquina

Ver pista de ayuda

Los eventos se canalizan a través de registros especializados de auditoría del sistema operativo.

Revisa el apartado 2 en rutas_escribibles_y_eventos.txt.

Cuando un usuario intenta iniciar un ejecutable que no cumple ninguna de las reglas de lista blanca autorizadas, el sistema operativo impide la ejecución e inserta un evento específico en el registro que documenta el archivo denegado, su ruta, su hash y la cuenta de usuario que lo intentó.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según rutas_escribibles_y_eventos.txt, ¿qué identificador de evento de AppLocker registra la ejecución bloqueada de un archivo ejecutable? Escribe el identificador tal como figura en el documento (ejemplo: Event ID XXXX).

Ver pista de ayuda

Consulta el segundo guion bajo identificadores de eventos en rutas_escribibles_y_eventos.txt.

En el SIEM corporativo, una concentración inusual de eventos de bloqueo de ejecución en una estación de trabajo es uno de los indicadores de mayor certeza de actividad no autorizada.

Si un operador prueba sucesivamente múltiples cargadores o scripts y genera decenas de eventos de denegación, el centro de operaciones escala de inmediato el host para triaje y contención.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué la acumulación reiterada de eventos de ejecución bloqueada alerta inmediatamente al equipo defensivo?

Provoca que la velocidad de internet se reduzca a la mitad Bloquea la cuenta del director general de la empresa Evidencia que un usuario o atacante está probando activamente múltiples herramientas no autorizadas para intentar superar las defensas

Ver pista de ayuda

Los fallos reiterados de ejecución revelan un proceso de prueba y error típico de una intrusión en curso.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: appcontrol-lab.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El canal operacional de AppLocker Lab

2 El evento forense de ejecución bloqueada Lab

3 Caza de intentos de ejecución repetidos Lab

Whoami-Labs Pro utiliza cookies