Atomic Red T1059.001

Invoke-AtomicTest T1059.001

Ejecuta los tests atómicos de PowerShell (T1059.001) con Atomic Red Team, validando la detección de la ejecución ofensiva de PowerShell.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección del abuso de PowerShell: los atómicos de T1059.001 replican las variantes ofensivas (la ejecución con -enc, los download cradles, el bypass de la política) y el equipo verifica qué detectó — el ScriptBlock Logging (Event 4104), las reglas del SIEM, el EDR. Es la validación de la detección de PowerShell: la técnica real del atacante. En el purple teaming, los atómicos de T1059.001 validan el logging y las reglas de PowerShell y el resultado alimenta la matriz.

No lo ejecutes en producción: la ejecución ofensiva de PowerShell genera los eventos reales — el laboratorio es el sitio. Y ojo: T1059.001 es una familia (los cradles, el enc, los bypasses): cada atómico valida una variante — la cobertura se valida por variante. La detección depende del logging (el ScriptBlock Logging activado): sin el 4104, la regla no tiene datos — el ejercicio valida también la configuración de la telemetría. El atómico con -enc ofuscado valida la regla de ofuscación; el cradle valida la regla de descarga.