Set-AuditRule

Un repositorio de entradas de control de acceso (ACE) útiles que podrían añadirse a la lista de control de acceso del sistema (SACL) del descriptor de seguridad de un objeto protegible para monitorizar posible actividad adversaria. Estas entradas se categorizan por objetos protegibles específicos como archivos, claves de registro y objetos de Active Directory. Además, este proyecto incluye un script de PowerShell que le ayudará a establecer las reglas de auditoría de forma programática a escala. El script también aprovecha los parámetros dinámicos de PowerShell para proporcionar capacidades de autocompletado y ofrecer los valores necesarios para cada indicador directamente desde las clases de control de acceso y servicio de directorio.

Objetivos

• Documentar reglas de auditoría útiles para monitorizar y detectar posibles adversarios accediendo a objetos protegibles específicos
• Acelerar el desarrollo e implementación de reglas de auditoría en entornos de red
• Probar el volumen de las reglas de auditoría y compartir hallazgos con la comunidad
• Mapear reglas de auditoría a herramientas adversarias
• Aprender sobre listas de control de acceso del sistema (SACL)
• Aprender sobre parámetros dinámicos de PowerShell
• Aprender sobre las clases de control de acceso de seguridad de Microsoft

Referencias

• Espacio de nombres de control de acceso
• Derechos de control de acceso del registro
• Derechos de control de acceso de archivos
• Tipos de SID conocidos
• Descriptor de seguridad

Autores

• Roberto Rodriguez @Cyb3rWard0g

Contribuir

Si tiene una regla de auditoría que considere útil en su entorno para monitorizar y detectar posible actividad adversaria y le gustaría compartirla con la comunidad, ¡no dude en abrir un PR!

Licencia: GPL-3.0

Licencia Pública General de GNU de Set-AuditRule