Guías con la etiqueta
Convierta los registros de PowerShell en detecciones: reconstruya bloques 4104, use AMSI y eventos del motor, detecte ofuscación y PowerShell no administrado.
Convierta el Firewall de Windows en fuente de detección: pfirewall.log, eventos WFP 5156/5157 y de cambio de reglas 4946-4950, reenviados de forma centralizada.
Elige una configuración de Sysmon, reduce el ruido sin crear puntos ciegos, despliega actualizaciones con seguridad en miles de equipos y supervisa el propio Sysmon.
Referencia práctica de los ID de eventos de Windows que conviene recopilar y alertar: inicios de sesión, errores, Kerberos, cuentas, persistencia y manipulación.
Configura la auditoría avanzada, la captura de línea de comandos, el tamaño de los registros, Sysmon y WEF para saber quién, qué, dónde y cuándo.