Rutas de escritura permitidas por defecto y su riesgo

Abre rutas_escribibles_y_eventos.txt en la consola del laboratorio con el entorno rt-applocker-wdac-guia.

Para no impedir el funcionamiento normal del sistema operativo, muchas organizaciones configuran una regla genérica que autoriza todo binario ubicado dentro de la ruta del sistema (%WINDIR%\*). Esto asume erróneamente que solo los administradores pueden depositar archivos en esas carpetas.

Revisa los ejemplos del punto 1 en rutas_escribibles_y_eventos.txt.

Los investigadores de seguridad han documentado múltiples rutas dentro del sistema operativo que permiten a cualquier usuario crear y modificar archivos. Depositar un ejecutable en estas ubicaciones permite evadir la lista blanca amparado por la regla de ruta permisiva.

Para cerrar esta brecha de seguridad, los administradores deben añadir reglas de excepción denegatorias explícitas sobre cada una de las carpetas identificadas como escribibles por usuarios estándar.

Sin estas excepciones, cualquier usuario con una cuenta básica puede soltar un binario o script y ejecutarlo sin violar formalmente las directivas de AppLocker.