Atomic Red T1069.002

Invoke-AtomicTest T1069.002

Executa o teste atômico de descoberta de grupos de domínio (T1069.002) com Atomic Red Team, validando a detecção da enumeração de grupos.

Execute-o no laboratório de purple team quando quiser validar a detecção da enumeração de grupos do domínio: o atômico T1069.002 enumera os grupos (net group /domain, as queries de AD) e a equipe verifica o que foi detectado — as queries de AD (o 4662), as regras do SIEM, o EDR. É a validação da detecção da enumeração: a fase do atacante que mapeia o domínio. No purple teaming, o atômico valida as regras de enumeração e o resultado alimenta a matriz.

Não o execute em produção: a enumeração gera as queries reais — o laboratório (com o domínio de testes) é o local. E atenção: a detecção da enumeração de grupos é difícil (net group é legítimo) — a regra se baseia no volume e no contexto; o atômico valida que a telemetria registra a query, a detecção real está na correlação. O atômico precisa do domínio de testes (ou do DC do laboratório): sem o domínio, a enumeração falha. O resultado 'detectado' depende da regra de enumeração implantada; o atômico isolado pode não disparar nada — resultado válido do exercício.