Tracking Change Con Azure

 Estimados amigos de Inseguros !!!

En este post os traigo una pedazo de solución de bajo coste para mejorar la vida del sysadmin, y también del Threat Hunter, ahora os contaré…

En primer lugar, vamos a usar una capacidad que nos da Azure ARC mediante su agente, de monitorizar nuestros equipos. NO solo cloud, CUALQUIERA. Esta capacidad va desde detectar un servicio nuevo, parado, iniciadio, hacer File integrity monitor, o decirnos el software instalado y los cambios. Más o menos lo que haríamos con OSSEC/ Wazuh.

Una vez tenemos la configuración incial, tendremos en Log Analytics / Sentinel, una tabla denominada ConfigurationData. Qué podemos hacer con esta tabla, lo que queramos !!!

Pero seguimos. Ahora vamos a usar un repositorio de CISA con las últimas vulnerabilidades explotadas. La url es esta: 

Y cual es la magia? podemos cruzar la tabla «con mi software» con la tabla » esto se está explotando» para darnos, o bien una alerta proactiva y que actuemos, o una «alerta reactiva» en una invesigación, para poder trazar el inicio o alguna fase del Kill chain que haya explotado alguna vulnerabilidad.