Escenario: Identificar en logs de seguridad la alerta producida por una modificación en memoria

Abre informe_alerta_memoria.txt y edr_memory_telemetry.txt en la consola del laboratorio con el entorno rt-amsi-memoria-escenario.

Examina los datos del evento 9081 registrado por el sensor de memoria. Identifica el identificador numérico asignado al proceso que originó la alerta crítica.

Revisa el campo correspondiente a la función objetivo intervenida en edr_memory_telemetry.txt.

El sensor interceptó la llamada a la API de protección de memoria antes de que se consumara la modificación de los bytes ejecutables. Localiza el nombre de la función exportada que se pretendía intervenir.

Inspecciona el patrón de bytes que el proceso intentaba sobreescribir en la función de seguridad.

Los motores EDR no solo detectan la solicitud de permisos anómalos, sino que comparan los bytes a escribir con firmas conocidas de parches públicos para emitir un veredicto inmediato de bloqueo.