Comportamiento anómalo de lo firmado

Un ejecutable firmado por un proveedor conocido tiene un valor: sabes quién lo publicó y que nadie lo modificó después. Pero si el proveedor publica una versión que hace algo distinto, o si lo que se firmó ya traía algo inesperado, la firma sigue siendo válida. Por eso la firma se mira junto con el comportamiento.

Abre linea_base. Muestra, por proceso padre, los hijos que lanzó durante los 30 días anteriores a la actualización. Es la memoria de lo normal. Compara con procesos, que cubre el día de la actualización, y busca el proceso hijo del agente que no aparece en la línea base.

Un comportamiento nuevo en un solo equipo puede ser un fallo local; en varios, apunta al programa o a la versión. Cuenta en procesos los equipos distintos en los que el agente lanzó ese hijo nuevo. Los equipos que solo lanzaron el hijo habitual no cuentan.

El comportamiento se completa con la red. En conexiones, el proceso del agente se conecta a un destino que sus equipos no usaban: los demás equipos con el agente siguen hablando con el servidor de actualizaciones de siempre. La línea de comando del hijo nuevo es una lectura de datos básicos del equipo; por sí sola es habitual en software de gestión, pero junto con un destino nuevo pide explicación.

Tienes un proceso firmado que hace algo nuevo en tres equipos y un destino que no estaba. No tienes el contenido de lo enviado ni la explicación del proveedor. El informe separa lo observado de lo que queda por saber, y la petición al proveedor es concreta: qué cambió en esa versión y por qué existe ese destino.