Dónde encaja la protección de punto final y su telemetría

A diferencia de los antivirus tradicionales basados únicamente en firmas de archivos, un EDR analiza el comportamiento en memoria de procesos, árboles de ejecución, modificaciones en el registro y conexiones de red en tiempo real. Su valor estratégico radica en su capacidad para correlacionar eventos con el marco MITRE ATT&CK y aislar el equipo de la red manteniendo exclusivamente un canal seguro de telemetría hacia la consola del SOC.

En entornos con alta exposición a amenazas, el sensor debe operar en modo preventivo activo en lugar de limitarse a registrar alertas pasivas.

Abre el laboratorio y lee politica-edr.txt. Identifica el valor asignado al modo operativo de DETECCION_COMPORTAMIENTO.

La rapidez de contención automatizada evita la propagación del adversario y el volcado de credenciales en memoria (LSASS).

Examina aislamiento-host.txt y localiza qué host simulado fue aislado en 1.8 segundos tras detectarse la ejecución de una herramienta de extracción de credenciales.

Los atacantes avanzados buscan terminar los servicios del sensor de seguridad mediante privilegios locales. La protección contra manipulación (Tamper Protection) protege los procesos y controladores del EDR incluso ante usuarios administradores locales.