Escenario: reconstrucción con cinco fuentes

El examen integrador exigió reconstruir un incidente complejo utilizando cinco fuentes independientes: 1) Sysmon ID 1 capturó certutil descargando un archivo, 2) Zeek conectó el dominio telemetry-c2.xyz en el puerto 443, 3) Linux auditd registró la ejecución de una shell elevada mediante sudo en el servidor pivote, 4) Prefetch y Amcache en Windows documentaron la ejecución inicial de update_agent.exe, y 5) Volatility 3 confirmó una inyección de memoria VAD RWX en svchost.exe. Las cinco fuentes se correlacionaron con estado CORRELATED_PRIMARY formando una prueba forense inquebrantable.

Indica el valor de correlation_status registrado en la tabla multi_source_reconstruction.

Lección tras el caso {#leccion}

La maestría técnica en cacería de amenazas exige una competencia políglota y multidisciplinar sobre el ecosistema de datos: ser capaz de interrogar con igual soltura consolas KQL, Splunk SPL, dialectos SQL o cuadernos de pandas en Python; comprender las fuentes íntimas tanto del kernel de Linux (auditd/journald) como de Windows (Sysmon/EventLogs); leer la semántica transaccional del tráfico de red (Zeek/NetFlow); y enlazar los artefactos forenses persistentes de disco (Prefetch/Amcache) con la verdad volátil de la memoria RAM (Volatility). Ningún registro individual ofrece certeza absoluta: es la convergencia simultánea e independiente de múltiples fuentes lo que construye una defensa inexpugnable.