Los atacantes que logran ejecutar código en un sistema pueden intentar reducir la visibilidad antes de continuar con su actividad. Desactivar la protección del endpoint, detener servicios de auditoría, borrar registros o bloquear la telemetría de seguridad son comportamientos importantes que un SOC debe supervisar.
La fuente define una búsqueda multiplataforma que combina la telemetría de procesos de Windows con indicadores de registros de Linux.
Indicadores de evasión de defensas en Windows
La parte de Windows de la consulta busca líneas de comandos que contengan acciones como:
Set-MpPreference;DisableRealtimeMonitoring;detener Windows Defender;
borrado de registros de eventos con
wevtutil;borrar la política de auditoría;
desactivar los controles del cortafuegos.
Indicadores de evasión de defensas en Linux
La parte de Linux busca en los registros completos acciones como:
setenforce 0;detención de
auditd;modificar iptables;
bloquear los puertos 514 o 6514 utilizados para el transporte de registros.
Consulta de detección
(data.win.system.eventID:1 and data.win.eventdata.commandLine:(*Set-MpPreference* or *DisableRealtimeMonitoring* or *sc*stop*WinDefend* or *wevtutil*cl* or *auditpol*clear* or *netsh*firewall*disable*)) or full_log:("setenforce 0" or "systemctl stop auditd" or "service auditd stop" or "iptables -A OUTPUT" or "dport 514 -j DROP" or "dport 6514 -j DROP")La fuente registró 13,751 eventos coincidentes durante los 30 días anteriores.
Por qué es necesario analizar el volumen
Las herramientas administrativas y los scripts de mantenimiento pueden cambiar legítimamente la configuración de seguridad. Por ello, una consulta sin refinar de estos comandos puede incluir actividad esperada.
El siguiente paso más útil es identificar:
qué comandos generan más coincidencias;
qué equipos los ejecutan;
qué cuentas intervienen;
si se producen durante un mantenimiento aprobado;
si coinciden con otros eventos sospechosos.
El mismo comando puede tener un significado muy distinto según el contexto.
Prioridades de investigación
Los eventos deben recibir mayor prioridad cuando se modifican controles de seguridad:
inmediatamente después de la ejecución de un proceso sospechoso;
por un usuario inesperado;
en servidores de producción;
poco antes de la persistencia o del acceso a credenciales;
junto con comandos de tunelización saliente o de ransomware.
Los analistas deben determinar si la configuración de seguridad se restableció posteriormente y si se crearon huecos en el registro.
Estrategia de ajuste
No excluya simplemente todo uso de un comando como Set-MpPreference. En su lugar, documente la automatización aprobada y restrinja las exclusiones por equipo, cuenta, línea de comandos y programación esperada.
Así se conserva la visibilidad sobre el mismo comando cuando aparece en otro lugar.
Valor de la correlación
La evasión de defensas es especialmente importante como parte de una secuencia de ataque.
Por ejemplo:
RCE en aplicación web → PowerShell → Defender desactivado → persistencia creada
es mucho más significativo que cualquier evento aislado.
Valor operativo
Los controles de seguridad existen para crear visibilidad. Por ello, los intentos de desactivarlos deben seguir siendo una parte central de la búsqueda proactiva de amenazas.
Incluso en entornos con uso administrativo legítimo, la definición de líneas base y la correlación pueden convertir una búsqueda de comandos ruidosa en una valiosa detección de postexplotación.
