Atomic Red T1003.001

Invoke-AtomicTest T1003.001

Ejecuta el test atómico de volcado de LSASS (T1003.001) con Atomic Red Team, validando que las detecciones de credential dumping funcionan.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección del volcado de LSASS: el atómico T1003.001 replica el dumping de credenciales (procdump -ma lsass o el método del atómico) y el equipo verifica qué detectó — Sysmon Event 10, el EDR, las reglas del SIEM. Es el ciclo de validación de detecciones: la técnica real ejecutada de forma controlada y la cobertura medida. En el purple teaming, el atómico se ejecuta tras desplegar la detección y el resultado (detectado o no) alimenta la matriz de cobertura ATT&CK.

No lo ejecutes en producción: el atómico vuelca LSASS (genera los eventos reales de dumping) y los EDR pueden bloquearlo o los SOCs pueden tratarlo como incidente — el host de pruebas o el laboratorio es el sitio. El ruido del ejercicio se planifica (los equipos avisados). Y ojo: el atómico valida la detección de la técnica, no la prevención — que el EDR deje ejecutar el dump pero genere la alerta es un resultado válido. El test se ejecuta con las credenciales del entorno (Invoke-AtomicTest con el usuario admin del laboratorio); sin los permisos, el atómico falla y el resultado no es interpretable.