Windows Server 2025 + Sysmon Telemetria avançada e detecção real de ataques

Índice

Navegue pelo conteúdo desta documentação.

Sobre o laboratório

Por que Windows Server no lab de SOC.

A maioria das detecções de SOC no mercado real — e a maioria das regras prontas do Wazuh e do framework Sigma — é voltada a Windows Event Log, Sysmon e PowerShell logging. Um ambiente só Linux, por mais completo que seja, deixa esse eixo de visibilidade em aberto.

Este laboratório fecha essa lacuna: um Windows Server 2025 com telemetria de host completa (Sysmon, Event ID 4688 com linha de comando, script block logging do PowerShell), integrado ao mesmo Wazuh Manager já em produção no lab. O resultado é um pipeline de detecção que cobre tanto o host Windows quanto o tráfego de rede capturado pelo Suricata — e foi validado com ataques reais, não cenários simulados.

Especificações

Ambiente técnico do laboratório.

Processo de implementação

Do download ao endpoint monitorado.

Cada etapa foi executada, validada e documentada antes de avançar. Dois problemas reais de infraestrutura foram encontrados e resolvidos durante o processo — registrados aqui como parte do aprendizado.

Cobertura de telemetria

O que este endpoint gera de visibilidade.

Com Sysmon + auditoria avançada + PowerShell logging, o host Windows passa a gerar uma telemetria bem mais rica do que a configuração padrão. Os três canais se complementam: Sysmon tem mais contexto por evento (hash, processo pai detalhado), o Event ID 4688 é nativo do SO sem dependência de ferramenta extra, e o 4104 captura o conteúdo real de scripts PowerShell — inclusive após deofuscação em memória.

Integração com Wazuh

Como os eventos do Windows chegam ao SIEM.

Red Team vs Blue Team

Dois ataques reais. Detecção validada.

O objetivo foi sair de "telemetria passiva" para um ciclo completo de detecção: configurar o sensor, atacar de propósito, e validar — ou identificar a ausência de — detecção real no SIEM. Dois alvos foram utilizados, cada um expondo uma camada diferente do pipeline de detecção.

{
  "event_type": "alert",
  "src_ip": "10.10.10.30",
  "dest_ip": "10.10.10.20",
  "dest_port": 4444,
  "alert": {
    "signature": "POSSBL SCAN SHELL M-SPLOIT TCP",
    "category": "A Network Trojan was detected",
    "severity": 1,
    "signature_id": 3400020
  }
}

alert http any any -> any 3000 (
  msg:"LOCAL SQLi Attempt - OR 1=1 in HTTP Body";
  flow:to_server,established;
  http.request_body;
  content:"OR 1";
  nocase;
  classtype:web-application-attack;
  sid:9000001;
  rev:1;
)

Tuning de regras

Problema real encontrado e resolvido.

Durante a operação do lab, dois problemas reais de infraestrutura foram identificados e corrigidos — registrados aqui como exercício genuíno de troubleshooting de SOC.

Competências desenvolvidas

O que este laboratório construiu na prática.

Resultados

O que foi entregue neste laboratório.

Evidências

Registros do laboratório.