Guías con la etiqueta
Convierta los registros de PowerShell en detecciones: reconstruya bloques 4104, use AMSI y eventos del motor, detecte ofuscación y PowerShell no administrado.
Elige una configuración de Sysmon, reduce el ruido sin crear puntos ciegos, despliega actualizaciones con seguridad en miles de equipos y supervisa el propio Sysmon.
Windows Event Forwarding que aguanta: recopiladores, suscripciones iniciadas por el origen, consultas XPath, entrega, acceso al registro de seguridad y estado.
Referencia práctica de los ID de eventos de Windows que conviene recopilar y alertar: inicios de sesión, errores, Kerberos, cuentas, persistencia y manipulación.
Configura la auditoría avanzada, la captura de línea de comandos, el tamaño de los registros, Sysmon y WEF para saber quién, qué, dónde y cuándo.