Escenario: informe de triaje de cinco equipos con resultados en bruto

Tras detectar un movimiento lateral anómalo en el segmento financiero, el equipo de ciberseguridad desplegó una Hunt de triaje de artefactos en cinco equipos críticos. Los resultados en bruto arrojaron un binario sospechoso ubicado en la carpeta temporal de Windows en FINANCE-WS-04, coincidente con técnicas de persistencia conocidas, mientras que en otros equipos no se hallaron coincidencias maliciosas.

Indica el client_id del equipo del departamento financiero que arrojó el hallazgo positivo en hunt_results.

Lección tras el caso {#leccion}

Velociraptor y el lenguaje VQL confieren al cazador una capacidad sin precedentes para inspeccionar evidencia forense en vivo a escala de flota corporativa. Sin embargo, un gran poder de recolección conlleva una estricta responsabilidad operativa: una consulta VQL ineficiente puede colapsar el ancho de banda o congelar discos en producción, mientras que una recolección sin controles de privacidad vulnera derechos de los usuarios. El cazador profesional siempre prueba sus artefactos en laboratorio, optimiza el consumo de recursos y respeta los flujos de doble aprobación.