Offensive SIEM

Técnicas prácticas para aprovechar el SIEM como una herramienta ofensiva de descubrimiento, ayudando a los defensores a pensar como atacantes para fortalecer la seguridad desde dentro.

Consultas

Ver arriba - archivo queries.md.

Se seguirá actualizando cuando sea necesario. La idea es tener cobertura capa sobre capa usando diferentes event.codes/event.providers.

• ¡Consultas publicadas para PATHS del entorno, controladores de Kernel y scripts de inicio de sesión/arranque, etc. durante febrero de 2026!
• ¡Consultas publicadas para bibliotecas OpenSSL y tareas programadas / Servicios con rutas de binarios faltantes durante marzo de 2026!

Gestión de vulnerabilidades

Consultas para la Gestión de vulnerabilidades en el archivo: vulnerabilitymanagement.md

Te da una idea de cómo puedes enumerar

• Versión y estado de compilación del sistema operativo Windows
• Reglas de Reducción de superficie de ataque (ASR) y encontrar configuraciones incorrectas
• Exclusiones de Windows Defender y encontrar configuraciones incorrectas
• Reglas de Windows Applocker y encontrar configuraciones incorrectas

Escríbenos si/cuando encuentres algo

Esperamos que te haya gustado la presentación. Escríbenos si (yo diría cuando) encuentras vulnerabilidades usando este método. Un simple mensaje como "una de tus consultas capturó algo bueno".. es más que suficiente :) hazlo contribuyendo al archivo ping.md o contáctanos de formas alternativas. ¡Nos encantaría compartir tu éxito!

Información general

El repositorio te ayudará a tener una mentalidad ofensiva. El repositorio es para compartir el material y las consultas de las que hablamos en nuestra presentación:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T septiembre 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon charla actualizada junio 2026 cubriendo algunas áreas nuevas ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

Hemos incluido las partes más interesantes relacionadas con ACL y tenemos consejos y trucos.

Echa un vistazo a los excelentes webinars sobre escalada de privilegios local en Windows y configuraciones incorrectas de endpoints Windows que te ayudarán a profundizar. Hay más áreas que explorar.. Esto es solo el punto de partida. Si construyes buenas consultas en otras áreas - por favor compártelas con nosotros para que más gente de la comunidad pueda usarlas.

Las consultas con la marca ⭐ son extra altamente relevantes. Los temas de abajo con ⭐ son contenido realmente bueno.

Webinars

Oddvar Moes Windows Client Privilege Escalation ⭐

una obligación verlo, especialmente las ACL para binarios, servicios y tareas programadas.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

Tema 2 (Software instalado/configurado de forma insegura) Y Tema 5 (Servicios y tareas inseguras)

• https://go.spenceralessi.com/windowsmisconfigsreplay

contraseña: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

Otros relacionados con la escalada de privilegios en Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

Entradas PATH y directorios escribibles por el usuario en el PATH del sistema --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

Lectura interesante sobre cuánto software mal configurado se encontró y ¡probablemente encontrarás la misma proporción usando Offensive SIEM!

Eliminación arbitraria de archivos --> Escalada de privilegios local

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU desde el minuto: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

Otras operaciones de archivos

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

Scripts de inicio de sesión

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

Controladores de kernel y escalada de privilegios

• https://www.youtube.com/watch?v=U36hAneQeZM

openssl.cnf de OpenSSL y escalada de privilegios

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

Vulnerabilidad del instalador/desinstalador NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/