Atomic Red T1059.001

Invoke-AtomicTest T1059.001

Executa os testes atômicos do PowerShell (T1059.001) com o Atomic Red Team, validando a detecção da execução ofensiva do PowerShell.

Execute no laboratório de purple team quando quiser validar a detecção do abuso do PowerShell: os atômicos do T1059.001 replicam as variantes ofensivas (a execução com -enc, os download cradles, o bypass da política) e a equipe verifica o que foi detectado — o ScriptBlock Logging (Evento 4104), as regras do SIEM, o EDR. É a validação da detecção do PowerShell: a técnica real do atacante. No purple teaming, os atômicos do T1059.001 validam o logging e as regras do PowerShell e o resultado alimenta a matriz.

Não execute em produção: a execução ofensiva do PowerShell gera os eventos reais — o laboratório é o local. E atenção: T1059.001 é uma família (os cradles, o enc, os bypasses): cada atômico valida uma variante — a cobertura é validada por variante. A detecção depende do logging (o ScriptBlock Logging ativado): sem o 4104, a regra não tem dados — o exercício valida também a configuração da telemetria. O atômico com -enc ofuscado valida a regra de ofuscação; o cradle valida a regra de download.