Procesos y conexiones recolectados

Una fila de la lista de procesos trae casi siempre el identificador (pid), el del padre (ppid), el nombre, el usuario, la ruta del ejecutable y la hora de inicio. Velociraptor puede añadir el hash y la validez de la firma digital Authenticode; en osquery la tabla processes ofrece columnas parecidas, entre ellas parent, path, cmdline y on_disk.

Hay tres lecturas básicas. El padre: un programa de oficina debería colgar del Explorador, no de un servicio. La ruta: los programas instalados viven en carpetas protegidas; carpetas como ProgramData o Downloads admiten escritura de un usuario normal. La firma: un ejecutable sin firma no es culpable, pero es una pregunta que hay que contestar con el inventario.

Los procesos sin firma de una empresa no son raros: hay programas internos y de proveedores pequeños que nunca se firmaron. La forma de separarlos es el inventario: cada programa con un cambio aprobado y una ruta esperada.

Abre la consola. Ejecuta SELECT * FROM pslist WHERE firmado = 'no' y luego SELECT * FROM software_autorizado. Un proceso de la primera tabla no aparece en la segunda.

La lista de procesos y la de conexiones se unen por el pid. En Velociraptor, el artefacto de conexiones (Windows.Network.Netstat) trae el proceso dueño de cada socket; en osquery, la tabla process_open_sockets hace lo mismo. Las direcciones internas de este ejemplo son 192.0.2.0/24; todo lo demás sale de la red.

Ejecuta SELECT * FROM netstat WHERE pid = 7312 para ver la conexión del proceso que no tiene respaldo.

La lista de procesos y la de conexiones son una foto del equipo en el momento de la colección. No traen historia ni volumen de datos: una conexión que existió a las 03:00 y se cerró a las 03:01 no aparece a las 09:40. El tiempo de vida de un proceso tampoco es evidencia de nada: lo que corrió y terminó antes de la foto se busca en otros artefactos, los de ejecución.

Eso cambia la conclusión. Que algo aparezca en la foto es un dato. Que algo no aparezca solo dice que no estaba en ese instante.