Detección de Scheduled Task/Job (T1053) usando PowerShell, Sigma, Sysmon, Splunk, Elasticsearch y QRadar. Hipótesis investigativa sobre usuarios sin privilegios creando tareas programadas en 7 días.
Secciones
- Introducción
- Desarrollo
- Script PowerShell para Detección
- Regla SIGMA
- Configuración Sysmon
- Consulta Splunk (básica + mejorada + time-bound + RUNAS)
- Consulta Elasticsearch
- Consulta QRadar
- Conclusiones
- Fuentes
Bloques de código incluidos
- Script PowerShell
- Regla YAML Sigma
- Configuración XML Sysmon
- Múltiples consultas SPL Splunk (progresivamente refinadas)
- Consulta JSON Elasticsearch
- Consulta SQL QRadar
Nota: Para el contenido completo con código, visitar la URL original en Medium.