Detección de Inhibit System Recovery (T1490) usando YARA, Sigma, Elasticsearch, Splunk y QRadar. Cubre comandos de desactivación de recuperación de Windows (vssadmin, wmic, wbadmin, bcdedit).
Secciones
- Introducción
- Desarrollo:
- Regla YARA
- Regla Sigma
- Elasticsearch watcher con alertas email
- Consulta Splunk con sendalert
- Consulta QRadar AQL SELECT
- Conclusión
- Fuentes
Bloques de código incluidos
- Regla YARA
- Regla YAML Sigma
- JSON Elasticsearch watcher
- Consulta SPL Splunk
- Consulta AQL QRadar
Nota: Para el contenido completo con código, visitar la URL original en Medium.