La detección del agente y su contexto

Un agente puede trabajar en dos modos, y casi nunca es el mismo en todo el parque. En prevención, la regla que se dispara corta lo que ve: termina el proceso, bloquea la salida de red, aparta el archivo. En solo detección, la misma regla escribe la alerta y no toca nada; el equipo sigue exactamente como estaba.

Que el modo sea distinto en puestos y en servidores no es un descuido: en un servidor de producción, un bloqueo automático a las tres de la mañana puede tumbar un servicio del que dependen cientos de personas, y muchas organizaciones prefieren que allí decida alguien. El precio de esa decisión lo paga el turno: en un servidor, mientras nadie actúe, lo que haya dentro sigue vivo.

Por eso la primera pregunta ante una detección no es «qué grave es», sino «qué hizo el agente».

En la cola de ese día hay detecciones de las tres confianzas. La confianza es cuánto se cree el motor su propia regla: alta cuando el patrón casi no ocurre por casualidad, baja cuando el mismo comportamiento lo produce también software legítimo. Confianza alta y acción del agente no van juntas: hay reglas de confianza alta que no bloquean porque alguien las dejó en solo detección, normalmente después de una tanda de falsos positivos que nadie volvió a revisar.

Busca en la cola la detección del proceso que lleva nombre del sistema fuera de su carpeta y escribe su identificador.

De cada diez detecciones de un agente, varias son herramientas de administración de la propia casa: el despliegue de software que lanza intérpretes, el inventario que lee el registro de medio parque, el soporte remoto que abre una sesión en el puesto de alguien, el actualizador que sale a un dominio que nadie había visto. Hacen lo mismo que se vigila, y por eso se parecen.

Reconocerlas no es «cerrar porque suena a administración». Un falso positivo se confirma con un dato de fuera: un ticket de cambio, una ventana de ejecución acordada, la carpeta de instalación y la firma de la herramienta, el catálogo de paquetes. Sin ese dato, lo que tienes es una hipótesis cómoda.

En la cola hay una detección de confianza baja ya cerrada como falso positivo. Mira qué herramienta la explica.

Y con eso, la regla de higiene del turno, que es la que distingue a un analista de alguien que vacía una cola.