Área 09 / 12
Seguridad de PowerShell
PowerShell es la mejor herramienta del administrador y la favorita del atacante. En lugar de intentar bloquearlo, esta área lo hace transparente y acotado: registro de bloques de script, de módulos y transcripción, eliminación del motor PowerShell 2.0 sin registro, modo de lenguaje restringido impuesto por el control de aplicaciones y Just Enough Administration para tareas delegadas.
Empezar la rutaRuta de aprendizaje
0/4 completadas- 01Seguridad de PowerShell: registro, v2, CLM y JEAPowerShell transparente y acotado: registro de bloques de script, módulos y transcripción, eliminación de la v2, CLM impuesto por App Control y JEA.
- 02Just Enough Administration (JEA) paso a pasoCree puntos de conexión JEA con los comandos justos para cada operador: funcionalidades de rol, configuraciones de sesión, cuentas virtuales, gMSA y auditoría.
- 03Detectar PowerShell malicioso con el registro de scriptsConvierta los registros de PowerShell en detecciones: reconstruya bloques 4104, use AMSI y eventos del motor, detecte ofuscación y PowerShell no administrado.
- 04Endurecer WinRM y la comunicación remota de PowerShellBlinde WinRM: inventaríe los agentes de escucha, imponga Kerberos, bloquee Basic, Digest y CredSSP, añada HTTPS, deje TrustedHosts vacío y acote el firewall.