Qué ve el agente que el registro no ve

Un agente no es «otro antivirus». Un antivirus clásico decide si un archivo es malo y lo bloquea; el agente graba el comportamiento del equipo entero, se lo guarda semanas y lo manda a una consola donde se puede buscar en todo el parque a la vez. Lo que graba, y que las otras fuentes no dan, son sobre todo cuatro cosas: la relación padre-hijo entre procesos conservada aunque el padre muera, la conexión de red atribuida al proceso que la abrió (con los bytes que salieron por cada uno), los módulos —bibliotecas— que carga cada proceso, y los archivos y claves de registro escritos, con el proceso al lado.

Esto no es terreno exclusivo de los productos de pago. Hay opciones comerciales muy extendidas y también opciones de código abierto que cubren buena parte del trabajo —Wazuh como plataforma de detección con agentes, Velociraptor para la recogida de evidencia en los equipos—, y conviene saber que existen porque en muchas empresas pequeñas son lo que hay.

Abre el laboratorio y compara las tres fuentes antes de contestar.

Un agente ve el puesto. XDR es lo que pasa cuando la misma consola recibe además lo que ven el correo, el proveedor de identidad y el almacenamiento en la nube, y los correlaciona: si a las 09:12 llega un documento a una persona, a las 09:41 ese documento abre un intérprete en su equipo, a las 09:43 la sesión de esa cuenta se usa desde una dirección nueva y a las 09:52 esa cuenta descarga medio archivo de la carpeta de contratos, eso no son cuatro alertas: es un caso.

La diferencia práctica para el turno es la que importa. Sin correlación, esas cuatro señales caen en cuatro colas distintas, probablemente de tres personas distintas, y alguien tiene que darse cuenta de que son la misma historia. Con ella, el sistema abre un incidente con las cuatro pruebas, la cuenta y el equipo, y el analista empieza por decidir, no por descubrir.

En el laboratorio tienes el incidente que la correlación armó sola. Escribe su identificador.

Un incidente correlacionado tiene siempre un punto de entrada, y casi nunca es donde más ruido hay. De las cuatro señales, la del puesto es la que te dice en qué máquina hay que mirar la telemetría de procesos; las otras tres dicen qué pasó alrededor de la cuenta.

Busca la señal del puesto y escribe el equipo donde se vio.

Antes de pasar al árbol de procesos conviene dejar claro qué se compró cuando una empresa dice que tiene XDR, porque es una de las etiquetas peor entendidas del mercado.