Atomic Red T1003.001

Invoke-AtomicTest T1003.001

Executa o teste atômico de dump de LSASS (T1003.001) com Atomic Red Team, validando que as detecções de credential dumping funcionam.

Execute-o no laboratório de purple team quando quiser validar a detecção do dump de LSASS: o atômico T1003.001 replica o dumping de credenciais (procdump -ma lsass ou o método do atômico) e a equipe verifica o que foi detectado — Sysmon Event 10, o EDR, as regras do SIEM. É o ciclo de validação de detecções: a técnica real executada de forma controlada e a cobertura medida. No purple teaming, o atômico é executado após a implantação da detecção e o resultado (detectado ou não) alimenta a matriz de cobertura ATT&CK.

Não o execute em produção: o atômico faz dump de LSASS (gera os eventos reais de dumping) e os EDRs podem bloqueá-lo ou os SOCs podem tratá-lo como incidente — o host de testes ou o laboratório é o lugar. O ruído do exercício é planejado (as equipes avisadas). E atenção: o atômico valida a detecção da técnica, não a prevenção — que o EDR permita a execução do dump mas gere o alerta é um resultado válido. O teste é executado com as credenciais do ambiente (Invoke-AtomicTest com o usuário admin do laboratório); sem as permissões, o atômico falha e o resultado não é interpretável.