WS-017, una estación de trabajo unida a un dominio, genera una alerta después de que powershell.exe se inicia bajo una cuenta inusual. El análisis inicial confirma la ejecución de scripts sospechosos, pero no va más allá, pasando por alto un mecanismo de persistencia que permanece activo tras finalizar el proceso de PowerShell. El atacante no necesitaba una nueva vulnerabilidad en la estación de trabajo; le bastaba con una cuenta de dominio utilizable y una forma de lograr que un host ejecutara su acción.
La pregunta que debe plantearse el defensor es si la alerta de PowerShell fue un evento de ejecución aislado o un paso dentro de una secuencia más amplia. A lo largo de las próximas siete lecciones, transformaremos los registros generados en WS-017 en una cronología sólida y fundamentada, identificaremos los cambios producidos y determinaremos qué respuesta respaldan las pruebas. Un hallazgo fundamentado especifica el host, la cuenta, la acción, la hora y el artefacto que sustentan la conclusión, en lugar de basarse simplemente en la etiqueta de una alerta.
El caso más sencillo es un evento de ejecución en el que ACME\svc_backup inicia powershell.exe en WS-017 a las 09:24. Dicho registro confirma que se inició un proceso bajo esa identidad (o principal), pero no aclara cómo llegó la cuenta al host, qué script se ejecutó, si se estableció persistencia o si el proceso tuvo éxito. Cada artefacto posterior responde a una de estas cuestiones más específicas.
Regla de investigación
Considere cada alerta como un punto de partida. Corrobore la información que aporta con pruebas específicas del host antes de determinar el alcance, la causa o el impacto.
Para evitar que registros no relacionados den lugar a una narrativa errónea, todos los laboratorios utilizan los mismos límites establecidos. El host es WS-017, unido al dominio ACME.LOCAL. El usuario interactivo habitual es ACME\j.smith. La identidad sospechosa es ACME\svc_backup, una cuenta de servicio cuyo uso en una estación de trabajo de usuario requiere una explicación. El intervalo temporal del incidente abarca desde las 09:10 hasta las 10:05 (hora local) del 14 de septiembre de 2026.
Estas constantes nos permiten correlacionar pruebas sin asumir que todo evento es malicioso. Un registro del log de seguridad puede identificar una identidad mediante campos como SubjectUserName y determinar el tipo de sesión a través de LogonType. La ruta de la imagen del proceso, la ruta del registro y la configuración de un servicio solo adquieren sentido cuando se vinculan a WS-017 y a este intervalo temporal específico. Si un registro hace referencia a otro host o queda fuera del intervalo temporal, solo lo conservamos cuando existen pruebas que establecen una relación directa.
El grupo local de Administradores constituye un límite crítico en este caso. ACME\j.smith debería operar como un usuario estándar, mientras que las acciones realizadas por ACME\svc_backup podrían conllevar privilegios administrativos. Un mismo archivo ejecutable adquiere un significado distinto para la investigación cuando se ejecuta bajo una cuenta con capacidad para instalar servicios, escribir claves del registro a nivel de sistema o modificar la configuración de seguridad.
El límite del caso integra la identidad del dominio, el límite de privilegios locales y el intervalo temporal del incidente en una única vista:
Este diagrama establece el alcance para todas las preguntas posteriores. Investigamos la actividad en WS-017 durante los 55 minutos indicados y ampliamos el análisis solo cuando un artefacto apunta más allá de ese límite.
Una vez definido el alcance del caso, las fuentes de evidencia deben seleccionarse en función de la pregunta que pueden responder, y no porque un canal de registro parezca más fiable o autorizado. El Registro de eventos de Windows (Windows Event Log) registra la actividad del sistema operativo y de seguridad, mientras que Sysmon añade telemetría detallada del endpoint cuando está configurado. El registro del sistema conserva configuraciones que pueden persistir más allá de la ejecución de un proceso. Ninguna fuente por sí sola demuestra la secuencia completa.
Para WS-017, los laboratorios posteriores utilizarán cuatro familias de evidencias:
Microsoft-Windows-Sysmon/Operational para vincular la creación de procesos, la actividad de red, la creación de archivos y los cambios en el registro cuando Sysmon los haya registrado.Microsoft-Windows-PowerShell/Operational para determinar qué registró PowerShell sobre la actividad de scripting.HKLM y HKCU para inspeccionar cambios de configuración a nivel de máquina y específicos del usuario.Un evento del sistema como el 7045 registra que el Administrador de control de servicios (Service Control Manager) instaló un servicio, incluyendo el nombre del servicio, la ruta de la imagen, el tipo de inicio y la cuenta de servicio. Por sí solo, el evento 7045 demuestra la creación del servicio, pero no una intención maliciosa. Debemos comparar la ruta y la cuenta con las prácticas administrativas esperadas y, posteriormente, correlacionar los inicios de sesión y las evidencias de procesos cercanos en el tiempo. Si se creó un servicio pero no se recopiló la ruta de su ejecutable, o si falta la fuente de auditoría pertinente, la investigación presentará un punto ciego que debe quedar explícitamente señalado.
Las fuentes de evidencia difieren en cuanto a cobertura, campos y modos de fallo: