Qué no ve un EDR

Un equipo sin alertas en la interfaz del EDR puede estar sano, pero también puede no tener agente, llevar tiempo sin comunicarse, estar en una categoría que el agente no recoge o haber sufrido una acción que ninguna regla describe. Tres de esas cuatro razones no tienen nada que ver con que el equipo esté limpio.

La regla del oficio: la ausencia de alertas es ausencia de evidencia, no evidencia de ausencia.

Abre la estación y lee inventario-de-equipos.csv: todos los equipos conocidos, con o sin agente. Los equipos sin agente no son un fallo del EDR sino parte del mapa: impresoras, conmutadores, tabletas, cámaras, algún servidor con un sistema que el agente no cubre. Para quien investiga, saber cuántos son y cuáles es el primer dato de cobertura.

Un puesto que pierde comunicación con la consola no deja de registrar: guarda sus eventos en una cola local que, en este despliegue, conserva siete días. Si vuelve antes, la consola recibe todo. Si vuelve después, lo más antiguo ya se descartó y queda un hueco permanente en la historia del equipo. Ese hueco se declara en el informe, no se rellena con suposiciones.

Lee alcance-del-agente.txt y la fila de amr-pc-031 en el inventario.

Si el caso toca a amr-srv-linux02, la consola del EDR no tiene nada de ese servidor: no hay agente. Eso no impide investigarlo, pero cambia de dónde se saca la evidencia: de los registros del propio servidor y de los equipos de red por los que pasó su tráfico, como el cortafuegos. Y se anota en el informe que la fuente es otra y que la consola no puede confirmar ni desmentir nada.