Qué observa un EDR en el endpoint

Abre arquitectura_edr_hooks.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

A diferencia de los antivirus tradicionales que solo escaneaban archivos al escribirse en disco, un agente EDR moderno distribuye sensores tanto en el espacio de usuario (User-Mode) como en el núcleo del sistema operativo (Kernel-Mode). Esta doble presencia le permite correlacionar la apertura de un proceso con sus conexiones de red y solicitudes de memoria.

Revisa el texto introductorio en arquitectura_edr_hooks.txt.

Para interceptar y evaluar las acciones sospechosas antes de que lleguen a ejecutarse en el núcleo del sistema operativo, el agente EDR despliega un componente específico dentro del espacio de memoria de cada nuevo proceso creado en la máquina.

Uno de los indicadores más fiables para los motores de analítica de un EDR es la relación de paternidad entre procesos (Parent-Child Process Relationship).

Si un proceso ofimático o de navegación web como Microsoft Word o Adobe Acrobat inicia directamente un intérprete de comandos o PowerShell, el sensor lo cataloga como una anomalía de alta severidad, independientemente de que el comando ejecutado sea aparentemente benigno.