Blue Team  /  Arsenal Defensivo
02 Endpoint · EDR/XDR

EDR, XDR y defensa del endpoint

El 80% de los ataques tocan un endpoint. EDR/XDR y los HIDS vigilan procesos, ficheros y registro en cada equipo para cazar malware y comportamientos raros. Aquí entiendes el ecosistema y practicas con Sysmon + Wazuh/OSSEC, que es lo open-source que de verdad puedes montar.

← Volver a Blue Team🔎 Arsenal ofensivo

🛡EDR vs XDR vs HIDS vs antivirus

Antivirus (AV)firmas: '¿este fichero es malo conocido?'. Necesario pero insuficiente.
HIDSHost IDS: vigila integridad de ficheros, logs y registro en EL host (OSSEC/Wazuh-agent).
EDREndpoint Detection & Response: graba TODA la actividad del endpoint (procesos, red, registro) y deja responder (aislar, matar proceso).
XDReXtended: junta señales de endpoint + red + correo + cloud en una sola historia.

📊Quién es quién

Wazuh (agente)HIDS/XDR open-source: FIM, detección de rootkits, respuesta activa. Tu opción gratis.
OSSECel HIDS clásico del que nace Wazuh. Ligero, muy probado.
VelociraptorEDR open-source + caza y DFIR en vivo con su lenguaje VQL. Imprescindible conocerlo.
Microsoft Defender for Endpointel EDR que más verás en empresas Windows.
CrowdStrike Falcon / SentinelOnelíderes comerciales. Agente ligero + nube + IA.

🧠La pieza clave en Windows: Sysmon

Sysmon (de Sysinternals) es GRATIS y transforma la visibilidad de Windows: registra creación de procesos con línea de comandos y hash, conexiones de red, cambios de registro, carga de DLLs... Es la materia prima de casi toda detección.

1
Descarga Sysmon + una config buena (SwiftOnSecurity / Olaf Hartong)
la config decide qué se registra; sin config decente, ruido.
2
sysmon64.exe -accepteula -i sysmonconfig.xml
instala Sysmon con esa config.
3
Mira el Visor de Eventos → Microsoft/Windows/Sysmon/Operational
ahí está el oro: Event ID 1 (proceso), 3 (red), 11 (fichero), 13 (registro).
4
Envía ese canal a tu SIEM (Wazuh/ELK)
ahora detectas 'Word lanzó powershell' a nivel de toda la empresa.

⚠Fallos típicos y solución

Sysmon genera demasiado ruido
usa una config curada (SwiftOnSecurity) y excluye lo legítimo por ruta/hash, no por categoría.
El EDR no ve procesos hijos
revisa que capturas Event ID 1 con ParentImage/CommandLine; la cadena padre→hijo es la firma de las macros.
'Lo detecta pero no lo para'
detección ≠ respuesta. Configura la respuesta activa (Wazuh active-response / aislar en EDR) y PRUÉBALA antes del incidente.
El agente consume CPU
acota reglas de FIM a directorios sensibles (no escanees todo /) y sube el intervalo.

💡Trucos

  • Mapea tus detecciones a MITRE ATT&CK: sabrás qué técnicas cubres y cuáles tienes ciegas.
  • Velociraptor para cazar en 1.000 equipos a la vez ("¿quién tiene este fichero/esta clave de registro?").
  • En Linux, auditd + Sysmon for Linux te dan visibilidad equivalente.
Sysmon + config SwiftOnSecurity ↗
la config de referencia.
Velociraptor ↗
EDR/DFIR open-source, VQL.
MITRE ATT&CK ↗
el mapa de técnicas que debes cubrir.
Atomic Red Team ↗
dispara técnicas para probar que tu EDR las ve.

🎯🎯 Lab puntuable: caza la cadena en el endpoint

Lab pesado descargable (Docker Compose): analiza la telemetría (estilo Sysmon) y caza el patrón clásico: un proceso de ofimática que lanza una shell. 1 reto, 50 puntos. (Necesitas Docker + Docker Compose.)

⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · EDR”

⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal
← Visibilidad · SIEMRed · IDS/IPS/NSM →