Qué telemetría recoge un EDR

El sistema operativo ya escribe sus propios registros de eventos. Lo que añade un EDR (detección y respuesta en el equipo final) es una vista centrada en el proceso: qué programa se ejecutó, quién lo lanzó, con qué argumentos y a nombre de qué cuenta, qué archivos tocó, a qué destinos se conectó. Y lo guarda en un lugar central, fuera del equipo, de modo que sobrevive aunque el equipo se apague o se reinstale.

Esa relación entre procesos, archivos y conexiones es lo que permite reconstruir una historia. Un evento suelto dice «se abrió un programa»; la telemetría del EDR dice de quién descendía y qué hizo después.

La telemetría de un agente se reparte en categorías: creación de procesos, conexiones de red, escritura de archivos, cambios de registro, carga de módulos, autenticaciones, consultas de nombres, dispositivos USB y más. Cada categoría produce un volumen distinto, y el volumen importa porque decide qué se puede conservar y por cuánto tiempo.

Abre la estación y lee categorias-de-telemetria.csv: es el recuento de 24 horas del puesto amr-pc-014.

No todo lo que el agente observa llega a la consola. La columna viaja_a_la_consola tiene cuatro valores: si (el evento completo llega), resumen (llega solo una parte filtrada), no (se queda en el equipo) y desactivado (la categoría no se recoge). Para saber cuánto material tiene el analista para razonar en una jornada, se suman solo las categorías en las que el evento completo viaja.

Una categoría puede estar apagada por política, por rendimiento o por privacidad. Eso no es un fallo, pero cambia lo que se puede afirmar después: sin una categoría, el analista ve el efecto en otras y no la causa. En la tabla hay una categoría que registró cero eventos y cuya nota dice que la política la tiene apagada.