Área 10 / 12
Auditoría y registro
El registro por defecto de Windows no responde casi ninguna de las preguntas de quien responde a un incidente. Esta área configura las subcategorías de la directiva de auditoría avanzada, la captura de la línea de comandos, tamaños de registro que cubren semanas y no horas, Sysmon para telemetría de procesos, red y DNS, y Windows Event Forwarding para que la evidencia salga del equipo antes de que un atacante la borre.
Empezar la rutaRuta de aprendizaje
0/4 completadas- 01Directiva de auditoría de Windows y Sysmon: línea baseConfigura la auditoría avanzada, la captura de línea de comandos, el tamaño de los registros, Sysmon y WEF para saber quién, qué, dónde y cuándo.
- 02Desplegar y ajustar Sysmon a escalaElige una configuración de Sysmon, reduce el ruido sin crear puntos ciegos, despliega actualizaciones con seguridad en miles de equipos y supervisa el propio Sysmon.
- 03Windows Event Forwarding a escalaWindows Event Forwarding que aguanta: recopiladores, suscripciones iniciadas por el origen, consultas XPath, entrega, acceso al registro de seguridad y estado.
- 04Los ID de eventos de seguridad de Windows que importanReferencia práctica de los ID de eventos de Windows que conviene recopilar y alertar: inicios de sesión, errores, Kerberos, cuentas, persistencia y manipulación.