Criterio de parada ante detección de EDR y protocolo

Abre triaje_eventos_y_appcontrol.txt en la consola del laboratorio con el entorno rt-examen1-guia.

Cuando una solución de detección y respuesta en endpoint decide contener una amenaza, aplica aislamiento de red (Network Containment): corta todas las conexiones TCP salvo el canal de gestión del propio sensor hacia la consola en la nube, terminando el proceso hostil.

Revisa el apartado 2 en triaje_eventos_y_appcontrol.txt.

El error más común de un operador inexperto ante una desconexión abrupta es disparar reintentos continuos de balizado o reenviar paquetes señuelo. La doctrina profesional exige una respuesta totalmente disciplinada.

Tras congelar las acciones interactivas, el líder de la operación ofensiva contacta a los enlaces de la White Cell a través de canales seguros fuera de banda.

Se verifica si la alerta del SOC corresponde a la actividad simulada o a un incidente de seguridad real en curso, protegiendo tanto la integridad del cliente como el progreso del ejercicio.