Sammi Notes

Properties1
tagsdocumentation

01 - Arquitectura y Componentes

Visión general

+-----------------------------+        +----------------------------------------+
|   PC POISONXPLOIT (Win11)   |        |        Indexer local (Splunkd)         |
|                             |        |                                        |
|  Sysmon64 (driver)          |        |  Recibe en 127.0.0.1:9997              |
|    |  eventos -> canal      |        |    [splunktcp://9997] en inputs.conf   |
|    v  Microsoft-Windows-    |        |        |                               |
|       Sysmon/Operational    |        |        v                               |
|                             |        |  Parsing/Idexing en indices win_*     |
|  WinEventLog Security/      |        |                                        |
|   System/Application/       |        |  Web UI:  http://127.0.0.1:8000        |
|   PowerShell/Defender/RDP   |        |  Mgmt   :  8089                        |
|                             |        |                                        |
|  Perfmon CPU/Mem/Net/Disk   |        |  Datos consumibles por analista via   |
|                             |        |  SPL (search) y dashboards            |
|  Monitor hosts/lmhosts/...  |        |                                        |
|        |                    |        |                                        |
|        v                    |        |                                        |
|  Splunk Universal Forwarder |  TCP   |                                        |
|  (sonda ligera)             |------->|  Puerto 9997 (recibiendo)              |
|  - inputs.conf (qué leer)   |  SSL/TLS no en local                    |
|  - outputs.conf (a dónde)  |        |                                        |
+-----------------------------+        +----------------------------------------+

Componentes

1. Splunk Universal Forwarder (UF)

“La sonda”. Servicio Windows SplunkForwarder que:

  • Lee datos desde WinEventLog, perfmon, monitor de ficheros y scripts.
  • No interpreta/busca: solo reenvía al indexer (consumo mínimo CPU/RAM).
  • Se configura vía dos archivos principales en su $SPLUNK_HOME\etc\:
    • apps\SOC-Windows-Local\local\inputs.conf — qué recoger (nuestra app).
    • system\local\outputs.conf — a dónde enviar (nuestra config, 127.0.0.1:9997).

2. Splunk Indexer (Splunk Enterprise local)

  • Servicio Splunkd ya desplegado en este PC (puerto 8000 web, 8089 mgmt).
  • Habilitamos receiving en 9997 editando etc\system\local\inputs.conf con la stanza [splunktcp://9997].
  • Crea los índices win_* en su app SOC-Windows-Local.

3. Sysmon64 (preexistente)

  • Driver + service de Sysinternals que publica en Microsoft-Windows-Sysmon/Operational.
  • Offrece EIDs con hashes, parent process, network connections, DNS, etc.
  • En este PC ya está Running (ImagePath: C:\WINDOWS\sysmon64.exe). Revisar config en 09 - Verificación y Busquedas SOC.

4. Hardening de logs de Windows (audit policy)

Activamos políticas que vienen deshabilitadas por defecto en Windows 11 Education:

  • PowerShell Script Block Logging (EID 4104) — captura el código completo ejecutado por PowerShell.
  • Module Logging (EID 4103) — captura pipelines.
  • Process Creation audit con command line (EID 4688 con CommandLine).
  • auditpol /set /subcategory:"Process Creation" activa la subcategoría.

Índices creados (CIM-friendly)

win_security, win_system, win_app, win_setup, win_sysmon, win_powershell, win_defender, win_wmi, win_rdp, win_tasks, win_print, win_perfmon, win_fim, win_status.

Cada uno se aloja en $SPLUNK_DB/<index>/db (por defecto C:\Program Files\Splunk\var\lib\splunk\<index>\db).

Modelos de datos sugeridos

Tras instalar Splunk Common Information Model (CIM) y/o el Splunk Add-on for Windows, los datos mapean a:

  • Authentication ← win_security (4624/4625)
  • Endpoint.Processes ← win_sysmon / win_security (4688)
  • Endpoint.NetworkSessions ← win_sysmon EID 3
  • Endpoint.Filesystem ← win_fim + Sysmon 11
  • Endpoint.Services ← win_system
  • Performance ← win_perfmon

Habilitar acceleration en dichos datos para búsquedas tstats subsegundo.

Volver a: 00 - MOC Monitorización PC Local

Vista Gráfica

Retroenlaces