Atomic Red T1082

Invoke-AtomicTest T1082

Executa o teste atômico de coleta de informações do sistema (T1082) com Atomic Red Team, validando a detecção do reconhecimento do host.

Execute-o no laboratório de purple team quando quiser validar a detecção do reconhecimento do host: o atômico T1082 coleta as informações do sistema (systeminfo, hostname, as consultas de configuração) e a equipe verifica o que foi detectado — Sysmon Event 1 (systeminfo), as regras do SIEM, o EDR. É a validação da detecção do descobrimento: a fase do atacante que coleta antes de agir. No purple teaming, o atômico valida as regras de reconhecimento e o resultado alimenta a matriz.

Não o execute em produção sem planejar: a coleta de informações gera os processos e as consultas — o laboratório é o local (embora o atômico T1082 seja dos mais silenciosos: systeminfo é legítimo). E atenção: a detecção da coleta (systeminfo) é difícil porque é uma ferramenta legítima — a regra se baseia no contexto (o volume, a combinação com outras técnicas); o atômico valida que a telemetria registra a execução, a detecção real está na correlação. O resultado 'detectado' depende da regra de reconhecimento implantada (systeminfo + outras); o atômico isolado pode não disparar nada — e isso é um resultado válido do exercício.