Seguridad Windows on cibersecblog

[Windows Logs] Event Tracing for Windows

Tue, 19 Nov 2024 13:04:54 +0000

¿Qué es el Event Tracing for Windows?

Según Microsoft, Event Tracing For Windows (ETW) o en español Seguimiento de eventos para Windows (ETW) proporciona un mecanismo para realizar un seguimiento y registrar eventos generados por aplicaciones en modo de usuario y controladores en modo kernel.

ETW, que funciona como un mecanismo de rastreo de eventos más en profundidad está ya integrado en el sistema operativo Windows , con esto , realmennte tenemos una a una oportunidad para reforzar toda la información que podamos recolectar en un incidente de seguridad por ejemplo , o en ciertas capacidades de defensa.

Registro de Windows

Tue, 05 Mar 2024 13:55:03 +0000

El objetivo principal es entender un poco más a fondo la importancia y la cantidad de información a la hora de realizar Troubleshooting o recabar información sobre posible sistema Windows comprometido haciendo uso del registro de Windows.

Hoy en día la mayoría de los administradores y analistas forenses tiramos siempre de la analítica que nos proporcionan las herramientas de detección tales como el EDR, no obstante , conviene saber ciertos aspectos básicos del Registro de Windows a la hora de tratar con posibles amenazas tanto Malware como Ransomware .

Unquoted Service Paths (LAB TryHackme bonus)

Sat, 06 May 2023 20:20:26 +0000

Unquoted Service Paths , ¿Qué significa esto?

Los servicios de Windows necesitan la ruta donde se encuentra el ejecutable que va a ser ejecutado por el servicio en sí. Esta ruta puede determinarse mediante la variable de clave binPath/ImagePath del registro y suele estar entrecomillada, lo que permite a Windows localizar la ruta o ubicación del ejecutable, por poner un símil . La siguiente ruta es un ejemplo de una ruta de servicio sin errores:

Entendiendo el funcionamiento de LSASS y LSAIso (Credential Guard)

Fri, 28 Apr 2023 19:28:49 +0000

En este post vamos a ver a más bajo nivel como funcionan estos procesos que intervienen en el proceso de virtualización de Credential Guard que nació con el fin de evitar el volcado de memoria para la extracción de hashes con herramientas como mimikatz.

LSASS y LSAIso

Bien, como habíamos comentado , LSASS y LSAIso se comunican entre sí a través de ALPC y RPC (Explicado en el anterior post).

Credential Guard, ¿Qué es? ¿Cómo funciona?

Mon, 24 Apr 2023 15:15:00 +0000

Durante este fin de semana, he estado “trasetando” un poco sobre los temarios que hemos dado en el curso de la III Edición : Curso ciberseguridad Windows con kinomakino , hemos visto en los post anteriores por ejemplo como bypassear amsi , como ejecutar mimikatz , ahora vamos a ver la característica de Credential Guard que tiene también que ver con todo esto , la que , si no nos hemos percatado , viene habilitada por defecto en Win 11, vamos a ello!!

AMSI una capa que no vemos

Tue, 18 Apr 2023 05:37:13 +0000

Hoy vamos a hablar acerca de una capa de seguridad por defecto que viene a partir de Windows 10.

Básicamente es una capa la cuál uno de sus objetivos es detectar lo que “no toca disco”. Como hemos comentado , se introdujo en Windows 10 y trata de establecer un canal de comunicación nativo del sistema operativo que “pase por un antivirus” (aunque ni por asomo) sin necesidad de “hookear” en la parte de disco, llamadas I/O, etc.