Sysmon Event ID 8 y Event ID 10: análisis de permisos

Abre inyeccion_local_sin_hilos.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-guia.

Cuando se ejecuta una inyección remota, Sysmon genera dos eventos en milisegundos de diferencia: primero un Event ID 10 (ProcessAccess) que delata el proceso origen solicitando permisos sobre la víctima, seguido inmediatamente por un Event ID 8 (CreateRemoteThread) que documenta el lanzamiento del hilo.

Revisa el apartado de motivos para evitar la inyección remota en inyeccion_local_sin_hilos.txt.

En un entorno corporativo común, los procesos de usuario casi nunca necesitan manipular la memoria o crear hilos dentro de otros procesos independientes, salvo software de accesibilidad o depuradores.

En el Event ID 10, Sysmon registra el campo CallTrace, que contiene la lista de módulos y direcciones de memoria que condujeron a la llamada de OpenProcess.

Si el CallTrace revela que la función no fue invocada desde librerías estándar en disco (ntdll.dll o KERNELBASE.dll), sino desde direcciones que residen en memoria dinámica no respaldada por ningún archivo (memoria unbacked), el SIEM clasifica el evento como actividad hostil directa.