Ejecutar reglas Sigma sobre EVTX en el navegador
2.395 reglas de SigmaHQ sobre registros .evtx de Windows sin instalar Hayabusa ni Chainsaw: detección Sigma en el navegador, contexto ATT&CK, pivotes y sus propias reglas YAML.
Notas sobre el registro de eventos
Notas breves sobre el formato binario del registro de eventos de Windows, IDs útiles en forense y flujos de triage.
«No se encuentra la descripción del id. de evento»: solución
Por qué el Visor de eventos no encuentra la descripción de un Event ID, qué significan códigos como %%1833 y cómo leer el evento igualmente, sin conexión.
Carving de registros EVTX borrados y recuperación de logs rotados
Carving por firma de registros EVTX en espacio no asignado, pagefile y memoria, y las herramientas que manejan chunks malformados con elegancia cuando al log vivo le falta lo que necesitas.
Detectar movimiento lateral en Security.evtx
Cómo las herramientas adversarias reales se mueven de host a host en parques Windows, y las combinaciones precisas de Event ID en Security.evtx que cazan a PsExec, Impacket y WMIExec.
Borrado del registro de eventos y los huecos que sobreviven
Cómo los atacantes borran los registros de eventos de Windows, qué pruebas quedan en disco y en canales reenviados, y la diferencia entre wevtutil cl y herramientas de suspensión de hilos como Invoke-Phant0m.
El formato de archivo EVTX, descodificado
Un recorrido práctico por el formato binario EVTX: cabecera del archivo, chunks ELFCHNK, plantillas BinXML, arrays de sustitución y por qué parsear esto es más difícil de lo que parece.
Triaje de EVTX: qué leer primero cuando tienes una hora y un host
Un orden de operaciones de profesional para triar Windows Event Logs durante incident response: qué canales importan, qué event IDs te mienten y dónde hace el trabajo pesado Sysmon.
Logging de PowerShell: qué obtienes con module logging y script block logging activados
La diferencia práctica entre PowerShell module logging, script block logging, transcripciones y buffers AMSI, y las configuraciones GPO que realmente activan las útiles.
Configuración de Sysmon que atrapa adversarios reales
Una visión opinada sobre Sysmon: qué event IDs realmente importan en IR, por qué olafhartong/sysmon-modular es la baseline correcta, y los errores de configuración que te ciegan ante ataques reales.