Qué ve y qué no ve un EDR

Un sensor de red resume lo que cruza un cable: quién habló con quién y cuánto. Un agente de punto final está instalado en el propio equipo y registra lo que ocurre allí: qué proceso se creó, con qué argumentos, qué archivo tocó, qué clave cambió, a qué dirección se conectó. Gracias a eso une una conexión con el programa que la abrió, algo que el cable no sabe.

La contrapartida es la cobertura: el agente solo habla de los equipos donde corre, y solo de las categorías de evento que su política deja activas.

Abre categorias_de_telemetria. Cada categoría describe una clase de evento: una fila por proceso creado, por conexión, por archivo modificado. Para reconstruir qué hizo un programa hace falta un campo que las filas de varias categorías compartan y que identifique al proceso responsable.

La política del agente decide qué categorías se registran. Una categoría apagada es una pregunta sin respuesta posible: ninguna regla ni búsqueda puede apoyarse en un evento que nunca se escribió. Antes de diseñar una detección conviene contar con qué categorías se cuenta de verdad.

El agente puede registrar qué bibliotecas carga cada programa al arrancar, un dato útil para ciertas detecciones, pero que genera muchísimos eventos. Muchas políticas lo dejan apagado por costo. Hay una categoría de la tabla en esa situación.

Abre preguntas_del_analista. Dos preguntas llevan «ninguna» como categoría: una sobre el contenido de una sesión cifrada y otra sobre un equipo sin agente. Una analista propone escribir una detección sobre lo que hizo taller-09, un equipo del taller al que nadie ha instalado el agente.