Registro de eventos de modificación del registro (Sysmon ID 12, 13)

3 tareas · 40 min · Principiante

Sysmon captura los eventos de manipulación del registro mediante los identificadores 12 (creación y borrado de objetos) y 13 (asignación de valores). Analizar estos campos permite reconstruir qué claves fueron alteradas y qué proceso ejecutó la modificación.

0 de 3 · 0%

Objetivo de la sala

Abre sysmon_eventos_registro_12_13.txt en rt-runkeys-com-guia y anota el nombre de la regla de filtrado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_eventos_registro_12_13.txt, ¿cuál es el nombre de la Regla de Filtro Sysmon documentada?

Ver pista de ayuda

Revisa la última línea del documento.

Examina qué acción sobre el registro de Windows representa específicamente el Event ID 13.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué operación sobre el registro documenta el Event ID 13 de Sysmon?

Network Connect, inicio de una conexión TCP Process Create, creación de un nuevo proceso RegistryEvent (Value Set), asignación de valor a una clave File Delete, eliminación de un archivo en disco

Ver pista de ayuda

El Event ID 13 documenta cuando se establece o modifica el contenido de un valor de registro.

Identifica qué atributo del evento Sysmon especifica la ruta de la clave de registro que fue alterada.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué campo en los eventos 12 y 13 de Sysmon almacena la ruta completa del objeto de registro afectado?

TargetObject Hashes DestinationIp ProcessGuid

Ver pista de ayuda

TargetObject contiene la ruta de la clave del registro afectada.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: workstation-hkcu.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Nombre de regla de filtro en Sysmon Lab

2 Significado del Event ID 13 de Sysmon Lab

3 Campo de Sysmon que contiene la clave modificada Lab

Whoami-Labs Pro utiliza cookies