Sysmon y los identificadores de eventos críticos

Abre catalogo_eventos_sysmon.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

El evento de creación de procesos registra no solo el archivo ejecutable que se inició, sino la línea de comandos completa con todos sus argumentos, el usuario que lo ejecutó, los hashes del binario (SHA256, MD5) y la identidad del proceso padre que lo invocó.

Revisa la lista de eventos en catalogo_eventos_sysmon.txt.

Cuando un artefacto en memoria intenta ejecutar código dentro de un proceso legítimo preexistente (como explorer.exe o svchost.exe), debe crear un nuevo hilo de ejecución en el espacio de memoria del objetivo. Esta técnica genera un evento específico en el registro de Sysmon.

Para poder volcar memoria o inyectar código en otro proceso, un programa debe primero solicitar un manejador al sistema mediante la API OpenProcess.

Sysmon registra este intento en el Event ID 10 (ProcessAccess), detallando la máscara de permisos solicitada en el campo GrantedAccess. Valores que solicitan permisos de lectura o escritura en la memoria virtual (PROCESS_VM_READ o PROCESS_VM_WRITE) son el principal indicador de volcado o manipulación de procesos sensibles como lsass.exe.