La pregunta que se hace a un equipo en vivo

Un triaje de equipo no es «mirar todo»: es hacer preguntas concretas y leer las respuestas. Herramientas como osquery y Velociraptor trabajan así. osquery expone el sistema operativo como una base de datos relacional y se consulta con SQL: cada tabla (procesos, conexiones, autoarranques) es una pregunta. Velociraptor llama artefacto a una consulta con nombre y parámetros, escrita en su lenguaje VQL; el nombre indica el sistema y el tema, por ejemplo Windows.System.Pslist para los procesos.

Lo primero que fija el analista es el alcance autorizado: qué equipo, qué preguntas, quién lo pidió y cuándo. Preguntar es leer, pero deja huella en el equipo, y lo recolectado es evidencia del caso: se registra quién lo pidió, a qué hora y desde dónde.

Cada colección termina con un estado, un número de filas y un tiempo. Con eso se sabe qué preguntas llegaron respondidas antes de leer una sola fila de contenido.

Abre la consola. La tabla colecciones es el inventario de lo pedido a tdc-pc-014. Ejecuta SELECT * FROM colecciones y lee la columna pregunta.

Una colección en vivo consume tiempo y recursos del equipo. Un artefacto pesado, como el que recorre muchos archivos, puede tardar decenas de segundos. Por eso se sabe qué se pide y no se lanza todo a ciegas. Conocer el costo permite planear: si una pregunta se repite en cuarenta equipos, esos segundos se multiplican.

Filtra las colecciones que sí terminaron con SELECT * FROM colecciones WHERE estado = 'completada' y suma la columna segundos.

En Velociraptor, una colección lanza artefactos sobre un cliente concreto. Una cacería (hunt) reparte la misma colección entre muchos clientes y se va completando a medida que cada equipo se conecta. Una tercera vía es el recolector sin conexión (offline collector): un ejecutable preconfigurado que corre en el equipo y deja un paquete de resultados que alguien lleva al analista.

La diferencia no es de herramienta sino de pregunta. Si la duda es «qué pasa en este portátil», una colección basta. Si la duda es «cuántos equipos tienen este archivo», hace falta una cacería, y con ella una segunda pregunta: de cuántos equipos no llegó respuesta.