Purple Team: Intune dijo que no… Red Team dijo “a ver” … Blue Team dijo “¿ontas?”

​Abstract Resumen
En esta charla presentaremos un laboratorio práctico de enfoque Purple Team sobre un dispositivo
Windows administrado mediante Microsoft Intune, en el cual las herramientas administrativas como
PowerShell y CMD se encuentran explícitamente restringidas por políticas de seguridad.

Perspectiva Ofensiva (Red Team)
Analizaremos la superficie de ataque cuando un usuario mantiene privilegios de administrador local a pesar
de las restricciones de interfaz. Exploraremos cómo una capacidad administrativa legítima —como la
creación de tareas programadas— se combina con un script custom en PowerShell (.ps1) para manipular
tokens de acceso, interactuar con la estación de ventana (winsta0\default) y desplegar una terminal
interactiva en la sesión del usuario. La demostración validará la ejecución en vivo de una consola con
privilegios de NT AUTHORITY\SYSTEM, superando las restricciones convencionales.

Perspectiva Defensiva (Blue Team)
PURPLE TEAM | PROPUESTA DE PONENCIA
A partir de la ejecución ofensiva, tomaremos el control del escenario para rastrear la telemetría generada en
tiempo real utilizando registros nativos de Windows y Microsoft Defender for Endpoint (MDE).
Identificaremos la creación de tareas (Event ID 4698), la reconstrucción del código ejecutado mediante
PowerShell Script Block Logging (Event ID 4104) y el comportamiento anómalo de procesos interactivos
elevados a través de consultas KQL en Microsoft Sentinel.

Takeaways / Objetivos de Aprendizaje
• Mecanismos de Bypassing y Carga Operativa: Comprender por qué restringir ejecutable o consola no elimina
las rutas de ejecución cuando existen privilegios de administración local y acceso a tareas programadas.
• Manejo Interno de Procesos en Windows: Diferenciar entre la asignación de privilegios y el contexto de
ejecución, entendiendo la relación entre tokens de acceso, sesiones interactivas y winsta0\default
(CreateProcessAsUser, DuplicateTokenEx).
• Telemetría Profunda y Detección en MDE/Sentinel: Diseñar e implementar consultas KQL y reglas de
detección para identificar la creación de tareas programadas elevadas, spawn de consolas anómalas y
manipulación de APIs de Windows.
• Análisis de Script Block Logging: Explotar la auditoría de PowerShell (Event ID 4104) para visibilizar
ejecuciones ofuscadas u ocultas tras restricciones de interfaz.
• Hardening Operativo en Intune: Evolucionar de un modelo de bloqueo superficial a una arquitectura de
defensa en profundidad utilizando Endpoint Privilege Management (EPM), mitigación de administradores locales
con LAPS, reglas ASR y políticas estrictas de WDAC/CLM.
• Playbook de Incident Response: Definir pasos claros de aislamiento, extracción de artefactos y erradicación
ante el abuso de privilegios en endpoints administrados.

Nivel recomendado: Intermedio / Avanzado
Audiencia objetivo: Pentesters, Red Teamers, Blue Teamers, SOC Analysts, Threat Hunters, Incident Responders, Administradores de Intune/Endpoint y Arquitectos de Seguridad.
Formato: Charla técnica con demostración práctica y análisis de telemetría en vivo.
Duración ideal: 90 minutos
PoC Red Team

Entregables
• Release del script PoC ofensivo (exclusivo para BSides Querétaro)
• Reglas de detección KQL para Microsoft Defender for Endpoint y Sentinel
• Artefactos de auditoría Windows/Intune
• Guía de hardening y respuesta a incidentes para Intune