Atomic Red T1078

Invoke-AtomicTest T1078

Executa os testes atômicos de contas válidas (T1078) com Atomic Red Team, validando a detecção do uso de credenciais legítimas.

Execute no laboratório de purple team quando quiser validar a detecção do uso de contas válidas: os atômicos de T1078 replicam o acesso com credenciais legítimas (o logon com a conta, o uso da credencial) e a equipe verifica o que foi detectado — o Event 4624, as regras de logon do SIEM, o EDR. É a validação da detecção de acesso: a técnica do atacante que usa o legítimo. No purple teaming, os atômicos de T1078 validam as regras de logon e o resultado alimenta a matriz.

Não execute em produção: o acesso com as credenciais gera logons reais — o laboratório é o local. E atenção: T1078 é a técnica do uso de contas válidas (a mais difícil de detectar porque é legítima): a validação foca nas anomalias (a origem, o horário, o comportamento) — os atômicos testam o acesso, as regras de anomalia são validadas com o contexto. O atômico com as credenciais do laboratório; o resultado 'detectado' depende da regra de logon anômalo, não do logon em si (que é legítimo).