Atomic Red T1069.002

Invoke-AtomicTest T1069.002

Ejecuta el test atómico de descubrimiento de grupos de dominio (T1069.002) con Atomic Red Team, validando la detección de la enumeración de grupos.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la enumeración de grupos del dominio: el atómico T1069.002 enumera los grupos (net group /domain, las queries de AD) y el equipo verifica qué detectó — las queries de AD (el 4662), las reglas del SIEM, el EDR. Es la validación de la detección de la enumeración: la fase del atacante que mapea el dominio. En el purple teaming, el atómico valida las reglas de enumeración y el resultado alimenta la matriz.

No lo ejecutes en producción: la enumeración genera las queries reales — el laboratorio (con el dominio de pruebas) es el sitio. Y ojo: la detección de la enumeración de grupos es difícil (net group es legítimo) — la regla se basa en el volumen y el contexto; el atómico valida que la telemetría registra la query, la detección real está en la correlación. El atómico necesita el dominio de pruebas (o el DC del laboratorio): sin el dominio, la enumeración falla. El resultado 'detectado' depende de la regla de enumeración desplegada; el atómico aislado puede no disparar nada — resultado válido del ejercicio.