De un indicador a una búsqueda por fuente

Un indicador del primer equipo (ActualizaPlanos, planos-sync.exe, un dominio, una dirección) es el punto de partida, no la consulta. Escribir la búsqueda obliga a resolver tres decisiones. La fuente: qué sistema registra ese tipo de dato; una tarea programada la ve el agente del EDR, un dominio lo ve el DNS o el proxy, una dirección externa el firewall. El campo: sobre cuál columna se compara; no es lo mismo el nombre del archivo que su ruta completa. Y la tolerancia: igualdad exacta o coincidencia parcial. Una búsqueda exacta contesta con precisión pero solo por lo que ya viste; una parcial encuentra variantes, y también ruido.

Cuando se salta esta decisión, la consulta sale ancha por defecto: se pega el dato en todas partes y se lee lo que caiga. Lo que cae no se sabe leer, porque no se sabe qué fuente lo habría visto.

El primer equipo ejecutaba el programa desde C:\Users\Public\Libraries\planos-sync.exe. Buscar esa ruta exacta en el EDR es correcto y devuelve lo que ya sabías. Pero otro equipo puede tener el mismo archivo en otra carpeta, y la igualdad exacta no lo ve. Lo robusto es comparar por el nombre del archivo, que es lo que el atacante cambia menos, y dejar la ruta como columna para leerla después. En KQL (en una ruta con barras invertidas se escribe @"..."):

edr_procesos
| where ruta_imagen == @"C:\Users\Public\Libraries\planos-sync.exe"

edr_procesos
| where ruta_imagen endswith "planos-sync.exe"

Lanza las dos en la tabla edr_procesos y compara los equipos que devuelve cada una. La segunda trae más filas: hay coincidencias que no son lo mismo y se separan en otra sala. Aquí te interesa lo que la primera no vio.

El dominio del indicador se busca en el DNS o el proxy, y ahí el origen de cada consulta es una dirección IP, no un nombre. Para saber qué equipo fue hay que cruzarla con el DHCP, y el cruce es por fecha y hora: en una red de oficina una dirección cambia de dueño cuando un equipo renueva su concesión. Usar el inventario de hoy para explicar una consulta de hace una semana es el error clásico: señala al equipo que tiene la dirección ahora, no al que la tenía entonces.

dns_proxy
| where dominio == "sync-planos-nube.example"

dhcp
| where ip == "10.73.20.77"

Mira la consulta al dominio del 09-26 a las 11:05 y a quién pertenecía esa dirección a esa hora.

Compara lo que devolvieron las búsquedas del primer equipo. El nombre de la tarea aparece en tres equipos de edr_tareas; el nombre del ejecutable, en muchas más filas de edr_procesos; el dominio, en direcciones de origen que por sí solas no dicen qué equipo fue. No hay contradicción: cada indicador mira un aspecto distinto, y un equipo que persiste con un servicio en vez de una tarea no sale en la búsqueda de tareas aunque esté en el mismo caso.

Por eso el alcance no se mide con una sola búsqueda. Se hacen varias, una por fuente, y se contrastan; lo que aparece en una y falta en otra es lo que merece una pregunta.