Windows Defender Application Control (WDAC) y control a nivel de kernel

3 tareas · 38 min · Principiante

Windows Defender Application Control (WDAC) representa la evolución moderna del control de aplicaciones en Windows. A diferencia de las soluciones en espacio de usuario, WDAC se implementa directamente en el núcleo del sistema operativo, garantizando que las políticas no puedan ser neutralizadas desde procesos locales.

0 de 3 · 0%

Objetivo de la sala

Abre arquitectura_applocker_wdac.txt en la consola del laboratorio con el entorno rt-applocker-wdac-guia.

Mientras que AppLocker opera delegando decisiones en un servicio del sistema en modo usuario, WDAC se integra con las directivas de seguridad basadas en virtualización (VBS) y la integridad de código del hipervisor, evaluando la firma de cada binario o controlador antes de cargarlo en memoria.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es la diferencia arquitectónica fundamental entre AppLocker y WDAC?

AppLocker solo funciona en servidores y WDAC solo en teléfonos WDAC requiere que la computadora esté conectada a un proyector de video WDAC opera en el núcleo del sistema a nivel de kernel mediante integridad de código, mientras que AppLocker depende de servicios en modo usuario

Ver pista de ayuda

WDAC traslada la aplicación de la política al kernel, impidiendo que procesos en modo usuario desarmen el control.

Revisa el apartado 3 en arquitectura_applocker_wdac.txt.

El subsistema de integridad del núcleo valida criptográficamente que todo binario satisfaga las directivas de firma digital declaradas en la política binaria de WDAC antes de permitir que el cargador asigne páginas de memoria ejecutable.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según arquitectura_applocker_wdac.txt, ¿a través de qué controlador de Integridad de Código opera WDAC en el núcleo del sistema? Escribe el nombre del archivo con su extensión.

Ver pista de ayuda

Consulta el primer guion bajo el punto 3 en arquitectura_applocker_wdac.txt.

Si un atacante con privilegios elevados intenta detener el servicio de identidades de aplicación (AppIDSvc) para neutralizar AppLocker, las políticas basadas en WDAC permanecen intactas.

Dado que la política de WDAC se carga en las primeras fases de arranque del sistema y está protegida por el kernel, ni siquiera un usuario con privilegios de administrador local puede suprimir sus restricciones sin reiniciar la máquina con las firmas autorizadas.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué WDAC resulta inmune a los intentos de detención de servicios en modo usuario?

Porque reinicia la red local si alguien intenta abrir la consola Porque su política se ejecuta y protege desde el kernel de Windows, siendo independiente de servicios en espacio de usuario Porque no permite el uso de teclados mecánicos

Ver pista de ayuda

La ejecución en el núcleo hace que la directiva no dependa de ningún servicio en modo usuario vulnerable a terminación.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: appcontrol-lab.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 La frontera de seguridad en el kernel Lab

2 El controlador de Integridad de Código Lab

3 Inmunidad frente a manipulaciones de servicios locales Lab

Whoami-Labs Pro utiliza cookies