Qué guarda un EDR y por cuánto tiempo

4 tareas · 35 min · Principiante

Un EDR almacena telemetría continua de endpoints. Entender los períodos de retención en caliente (búsqueda rápida) y frío (archivo histórico) es vital para una investigación retrospectiva.

0 de 4 · 0%

Objetivo de la sala

Un EDR almacena telemetría continua de endpoints. Entender los períodos de retención en caliente (búsqueda rápida) y frío (archivo histórico) es vital para una investigación retrospectiva.

Ejecuta SELECT * FROM retencion. Observa la creación de procesos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántos días de retención en caliente tienen los eventos de creación de procesos?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa los días en caliente para conexiones de red salientes.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántos días se conservan en caliente las conexiones de red salientes?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa la telemetría de llamadas a memoria (OpenProcess).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántos días de retención en caliente tienen las llamadas a memoria?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Si un incidente ocurrió hace más de un mes, la búsqueda en caliente puede no arrojar resultados.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué debe hacer el analista si sospecha que una intrusión inició hace 45 días?

Cerrar la investigación por falta de pruebas Consultar el almacenamiento histórico en frío ya que la retención en caliente caducó Exigir a los usuarios que recuerden qué hicieron

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

MercaSur — retención histórica de telemetría de consola EDR

Consola central de EDR · políticas de retención

Tablas

retencion

tipo_evento
dias_en_caliente
dias_en_frio
fuente_datos

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Retención en caliente Lab

2 Retención de conexiones Lab

3 Llamadas a memoria volátiles Lab

4 Impacto en la investigación Lab

Whoami-Labs Pro utiliza cookies