A WS-017, uma estação de trabalho integrada ao domínio, gera um alerta após a inicialização do powershell.exe sob uma conta incomum. A triagem inicial confirma a execução de scripts suspeitos, mas não vai além disso, deixando passar um mecanismo de persistência que permanece ativo mesmo após o encerramento do processo do PowerShell. O invasor não precisou de uma nova vulnerabilidade na estação de trabalho; ele precisava apenas de uma conta de domínio utilizável e de uma maneira de fazer com que um host executasse sua ação.
A questão para o defensor é saber se o alerta do PowerShell foi um evento de execução isolado ou uma etapa de uma sequência maior. Ao longo das próximas sete lições, transformaremos os registros deixados na WS-017 em uma linha do tempo fundamentada, identificaremos as alterações ocorridas e decidiremos qual resposta é sustentada pelas evidências. Uma conclusão fundamentada identifica o host, a conta, a ação, o horário e o artefato que embasam tal conclusão, em vez de depender apenas do rótulo do alerta.
O caso mais simples é um evento de execução que mostra a conta ACME\svc_backup iniciando o powershell.exe na WS-017 às 09:24. Esse registro estabelece que um processo foi iniciado sob essa identidade (principal). Ele não esclarece como a conta chegou ao host, qual script foi executado, se houve criação de persistência ou se o processo foi bem-sucedido. Cada artefato subsequente responde a uma dessas questões mais específicas.
Regra de investigação
Trate todo alerta como um ponto de partida. Corrobore a alegação do alerta com evidências específicas do host antes de definir o escopo, a causa ou o impacto.
Para evitar que registros não relacionados gerem uma narrativa falsa, todos os laboratórios utilizam os mesmos limites fixos. O host é a WS-017, integrada ao domínio ACME.LOCAL. O usuário interativo esperado é ACME\j.smith. A identidade suspeita é ACME\svc_backup, uma conta de serviço cujo uso em uma estação de trabalho de usuário requer explicação. A janela do incidente compreende o período de 09:10 às 10:05 (horário local) do dia 14/09/2026.
Essas constantes nos permitem correlacionar evidências sem presumir que todo evento seja malicioso. Um registro de log de Segurança pode identificar uma identidade por meio de campos como SubjectUserName e identificar o tipo de sessão pelo campo LogonType. O caminho da imagem do processo, o caminho no registro do sistema e a configuração de um serviço só adquirem significado quando associados à WS-017 e a essa janela de tempo específica. Se um registro mencionar outro host ou estiver fora do intervalo de tempo analisado, nós o mantemos apenas quando houver evidências que estabeleçam uma relação direta.
O grupo de Administradores locais é um limite crítico neste caso. A conta ACME\j.smith deve operar como um usuário padrão, enquanto ações realizadas pela conta ACME\svc_backup podem envolver privilégios administrativos. O mesmo executável assume um significado investigativo diferente quando é executado sob uma conta capaz de instalar serviços, gravar chaves de registro de todo o sistema ou alterar configurações de segurança.
O limite do caso conecta a identidade do domínio, o limite de privilégios locais e o intervalo de tempo do incidente em uma única visualização:
Este diagrama define o escopo para todas as perguntas subsequentes. Investigamos a atividade no WS-017 durante os 55 minutos especificados e expandimos a análise apenas quando um artefato aponta para além desse limite.
Uma vez definido o escopo do caso, as fontes de evidência devem ser escolhidas com base na pergunta que podem responder, e não porque um canal de log pareça mais confiável ou oficial. O Log de Eventos do Windows registra atividades do sistema operacional e de segurança, enquanto o Sysmon adiciona telemetria detalhada do endpoint quando configurado. O Registro preserva configurações que podem persistir após o encerramento de um processo. Nenhuma fonte isolada comprova toda a sequência de eventos.
Para o WS-017, os laboratórios posteriores utilizarão quatro categorias de evidências:
Microsoft-Windows-Sysmon/Operational para vincular a criação de processos, atividade de rede, criação de arquivos e alterações no Registro, quando registradas pelo Sysmon.Microsoft-Windows-PowerShell/Operational para determinar o que o PowerShell registrou sobre atividades de script.HKLM e HKCU para inspecionar alterações de configuração em nível de máquina e específicas do usuário.Um evento de Sistema como o 7045 registra que o Gerenciador de Controle de Serviços instalou um serviço, incluindo o nome do serviço, caminho da imagem, tipo de inicialização e conta de serviço. Isoladamente, o evento 7045 comprova a criação do serviço, mas não a intenção maliciosa. Devemos comparar o caminho e a conta com os padrões administrativos esperados e, em seguida, correlacionar com logons próximos e evidências de processos. Se um serviço foi criado, mas o caminho do executável não foi coletado ou a fonte de auditoria relevante está ausente, a investigação apresenta uma lacuna de visibilidade que deve permanecer explícita.
As fontes de evidência diferem em termos de cobertura, campos e modos de falha: