Event ID 4688: Análisis de la creación de procesos en Windows

¿Qué se documenta en el 4688?

El tema 'qué se documenta en el 4688' es una parte central del trabajo sobre el Event ID 4688. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada?, ¿qué decisión se desea tomar? y ¿qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Activación de la auditoría de línea de comandos

El tema 'activación de la auditoría de línea de comandos' es una parte central del trabajo sobre el Event ID 4688. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada?, ¿qué decisión se desea tomar? y ¿qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Parent y New Process

El tema 'Parent y New Process' es una parte central del trabajo sobre el Event ID 4688. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada?, ¿qué decisión se desea tomar? y ¿qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Identificación de patrones anómalos

La investigación del Event ID 4688 comienza con la formulación de una hipótesis: qué comportamiento explica el hallazgo y qué evidencia lo confirmará o refutará. Luego, se amplía la ventana de tiempo, se verifican las entidades y se busca una secuencia antes y después del evento.

Una buena correlación combina al menos dos tipos de información de New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID. Para cada hallazgo, se especifica qué demuestra, qué no demuestra y cuál es el siguiente paso. Si los datos no son suficientes, se marca como Desconocido y no se convierte la ausencia de evidencia en evidencia de ausencia.

4688 frente a Sysmon 1

Para comprender la diferencia en el contexto del Event ID 4688, es importante comparar objetivos, no solo herramientas. Una opción proporciona amplitud o velocidad, y otra proporciona una validación profunda o contexto. La elección correcta depende de la pregunta: ¿se requiere descubrimiento, investigación, prueba de impacto, contención o informe?

Una tabla de comparación profesional debe incluir al menos: tipo de entrada, nivel de certeza, costo operativo, impacto posible, limitaciones y continuación necesaria. En caso de duda, se utiliza el enfoque menos invasivo y se agrega una fuente complementaria en lugar de sacar una conclusión demasiado amplia.

Puntos de verificación únicos

En este tema, se recomienda construir previamente un mapa de evidencia enfocado. Los puntos de verificación centrales son: New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, acción y tiempo o explicar un comportamiento legítimo.

• New Process Name: Defina cuál es el valor esperado, qué se considerará anómalo y qué fuente adicional verificará el hallazgo.
• Creator Process ID: Defina cuál es el valor esperado, qué se considerará anómalo y qué fuente adicional verificará el hallazgo.
• Process Command Line: Defina cuál es el valor esperado, qué se considerará anómalo y qué fuente adicional verificará el hallazgo.
• Token Elevation Type: Defina cuál es el valor esperado, qué se considerará anómalo y qué fuente adicional verificará el hallazgo.
• Subject Logon ID: Defina cuál es el valor esperado, qué se considerará anómalo y qué fuente adicional verificará el hallazgo.

Cuando uno de los puntos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el Process identifier no es estable, se puede utilizar el tiempo, Host, User y Parent; si el Payload está cifrado, se utilizan Metadata, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

1. Defina el alcance y una pregunta de trabajo sobre el Event ID 4688.
2. Anote las fuentes de datos y la evidencia necesaria: New Process Name, Creator Process ID, Process Command Line, Token Elevation Type.
3. Cree una línea base breve de comportamiento normal o resultado esperado.
4. Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
5. Cree una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
6. Realice un pivote a una fuente adicional para confirmar o refutar la explicación inicial.
7. Resuma la decisión, las limitaciones, la acción recomendada y el criterio de repetición de la prueba.

Escenario práctico

El escenario elegido es la construcción de un árbol de procesos a partir de tres eventos. El objetivo del ejercicio no es probar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un marco de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o evaluador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo corta, una suposición inicial, evidencia de confirmación, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Lista de verificación práctica

• ✓Verifique y documente: Event ID y el Proveedor.
• ✓Verifique y documente: Equipo, Usuario e ID de inicio de sesión.
• ✓Verifique y documente: Proceso, Padre y Línea de comandos.
• ✓Verifique y documente: IP de origen, Estación de trabajo y Tipo de inicio de sesión.
• ✓Verifique y documente: Cambios de Grupo/Privilegio.
• ✓Verifique y documente: Sysmon ProcessGuid o SessionGuid.
• ✓Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
• ✓Guarde los datos sin procesar antes de filtrar o modificar.
• ✓Escriba qué demuestra el hallazgo y qué aún se desconoce.
• ✓Defina el propietario y la acción de seguimiento con una fecha límite.

Errores comunes

• Confiar en el Event ID sin campos.
• Confundir el inicio de sesión con el origen del ataque.
• Ignorar el tipo de inicio de sesión.
• Vincular procesos solo por PID.
• Asumir que todo PowerShell es malicioso.
• Cerrar un evento sin verificar el controlador de dominio.

Resumen y CTA

Event ID 4688: Análisis de la creación de procesos en Windows es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que pueda justificarse y verificarse.

En el programa Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Una continuación natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de una cartera profesional.

Preguntas frecuentes