Script Block Logging (Event ID 4104) y su análisis en SIEM

Abre restricciones_powershell_clm.txt en la consola del laboratorio con el entorno rt-scripts-firmas-guia.

Cuando un atacante envía un comando empaquetado o codificado con múltiples capas de resolución, el motor de PowerShell debe desempaquetar cada bloque antes de pasarlo al compilador interno. En ese punto preciso se genera el evento forense.

Revisa el punto 4 en restricciones_powershell_clm.txt.

Los analistas defensivos configuran sus colectores de logs (como Winlogbeat o agentes de Microsoft Sentinel) para reenviar los eventos emitidos por este proveedor hacia el almacenamiento centralizado del SIEM.

En el SIEM corporativo, las reglas de detección buscan expresiones regulares sobre el campo del bloque de script.

Cadenas como DownloadString, llamadas directas a sockets TCP, invocaciones a la API de reflexión o llamadas encubiertas a IEX disparan alertas automáticas de triaje para los operadores del SOC, facilitando la detección de implantes basados en scripts.