Listados del módulo de seguridad

Los listados de seguridad muestran la información de la actividad relativa a la protección de los equipos de la red recogida por Advanced EDR, y cuentan con un grado de detalle muy alto al contener la información en bruto utilizada para generar los widgets.

Para acceder a los listados de seguridad elige uno de los dos procedimientos mostrados a continuación:

Haz clic en el menú superior Estado, panel lateral Seguridad y en widget para abrir su listado asociado. Dependiendo del lugar donde se haga clic dentro del widget se aplicará un filtro distinto asociado al listado.

o
En el menú superior Estado, panel lateral Mis listados haz clic en el enlace Añadir. Se mostrará una ventana donde se muestran todos los listados disponibles en Advanced EDR.
Haz clic en un listado de la sección Seguridad. Se mostrara el listado apropiado sin filtros establecidos.

Al hacer clic en una entrada del listado se mostrará la ventana de detalle, que se ajustará al tipo de información mostrada.

Estado de protección de los equipos

Muestra en detalle todos los equipos de la red, incorporando filtros que permiten localizar aquellos puestos de trabajo o dispositivos móviles que no estén protegidos por alguno de los conceptos mostrados en el panel asociado.

Para garantizar el buen funcionamiento de la protección, los equipos de la red deben comunicarse con la nube de Cytomic. Consulta el listado de URLs accesibles desde los equipos en Acceso a URLs del servicio.

Campo	Descripción	Valores
Equipo	Nombre del equipo.	Cadena de caracteres
Estado del equipo	Reinstalación del agente: Reinstalando agente. Error en la reinstalación del agente. Reinstalación de la protección: Reinstalando la protección. Error en la reinstalación de la protección. Pendiente de reinicio. Estado de aislamiento del equipo: Equipo en proceso de entrar en aislamiento. Equipo aislado. Equipo en proceso de salir del aislamiento. Modo Contención de ataque RDP: Equipo en modo contención de ataque RDP. Finalizando modo de contención de ataque RDP. Modo detallado del equipo: Equipo en modo detallado	Icono
Grupo	Carpeta dentro del árbol de carpetas de Advanced EDR a la que pertenece el equipo.	Cadena de caracteres Grupo Todos Grupo nativo Grupo Directorio activo
Protección avanzada	Estado de la protección avanzada.	Instalando Error. Si es conocido se mostrará su origen, si es desconocido se mostrará el código de error Activado Desactivado Sin licencia
Protección actualizada	El módulo de la protección instalado en el equipo coincide con la última versión publicada o no. Al pasar el puntero del ratón por encima del campo se muestra la versión de la protección instalada.	Actualizado No actualizado (7 días sin actualizar desde la publicación) Pendiente de reinicio.
Conocimiento	El fichero de firmas descargado en el equipo coincide con la última versión publicada o no. Al pasar el puntero del ratón por encima del campo se muestra la fecha de actualización de la versión descargada.	Actualizado No actualizado (3 días sin actualizar desde la publicación)
Conexión con conocimiento	Indica si el equipo es capaz de comunicarse con la nube de Cytomicpara enviar los eventos monitorizados y descargar la inteligencia de seguridad.	Conexión correcta Uno o varios servicios no son accesibles Información no disponible
Última conexión	Fecha del último envío del estado de Advanced EDR a la nube de Cytomic.	Fecha
Campos del listado Estado de protección de los equipos

Campos mostrados en fichero exportado

Campo	Descripción	Valores
Cliente	Cuenta del cliente a la que pertenece el servicio.	Cadena de caracteres
Tipo de equipo	Clase del dispositivo.	Estación Portátil Servidor
Equipo	Nombre del equipo.	Cadena de caracteres
Dirección IP	Dirección IP principal del equipo.	Cadena de caracteres
Dominio	Dominio Windows al que pertenece el equipo.	Cadena de caracteres
Descripción	Descripción asignada al equipo.	Cadena de caracteres
Grupo	Carpeta dentro del árbol de carpetas de Advanced EDR a la que pertenece el equipo.	Cadena de caracteres
Versión del agente	Versión interna del módulo agente Cytomic.	Cadena de caracteres
Fecha instalación	Fecha en la que el Software Advanced EDR se instaló con éxito en el equipo.	Fecha
Fecha de la última actualización	Fecha de la última actualización del agente.	Fecha
Plataforma	Sistema operativo instalado en el equipo.	Windows Linux macOS
Sistema operativo	Sistema operativo del equipo, versión interna y nivel de parche aplicado.	Cadena de caracteres
Protección actualizada	El módulo de la protección instalado en el equipo es la última versión publicada.	Binario
Versión de la protección	Versión interna del módulo de protección.	Cadena de caracteres
Conocimiento actualizado	El fichero de firmas descargado en el equipo es la última versión publicada.	Binario
Fecha de última actualización	Fecha de la descarga del fichero de firmas.	Fecha
Protección avanzada Antivirus de archivos Bloqueo de programas	Estado de la protección asociada.	No instalado Error: si es conocido se mostrará su origen, si es desconocido se mostrará el código de error Activado Desactivado Sin licencia
Modo Protección avanzada (Windows)	Configuración actual del módulo de protección avanzada. Modo de funcionamiento.	Audit Hardening Lock
Modo Protección avanzada (Linux)	Configuración actual del módulo de protección avanzada. Detección de actividad maliciosa.	Auditar No detectar Bloquear
Estado de aislamiento	El equipo esta aislado de la red.	Aislado No aislado
Fecha de error	Se produjo un error en la instalación de Advanced EDR en la fecha y hora indicadas.	Fecha
Error instalación	Descripción del error producido en la instalación de Advanced EDR en el equipo.	Cadena de caracteres
Código error instalación	Muestra código que permite detallar el error producido durante la instalación.	Los códigos se muestran separados por “;”: Código de error Código extendido error Subcódigo extendido error
Otros productos de seguridad	Nombre del antivirus de terceros fabricantes encontrado en el equipo en el momento de la instalación de Advanced EDR.	Cadena de caracteres
Conexión para inteligencia colectiva	Muestra el estado de la conexión del equipo con los servidores que almacenan los ficheros de firmas y la inteligencia de seguridad.	Correcta Con problemas
Conexión para envío de eventos	Muestra el estado de la conexión del equipo con los servidores que reciben los eventos monitorizados en los equipos protegidos.	Correcta Con problemas
Modo “Contención de ataque RDP”	Estado del modo de Contención de ataque RDP.	Todos No Si
Campos del fichero exportado Estado de protección de los equipos

Herramienta de filtrado

Campo	Descripción	Valores
Tipo de equipo	Clase del dispositivo.	Estación Portátil Servidor
Buscar equipo	Nombre del equipo.	Cadena de caracteres
Última conexión	Fecha del último envío del estado de Advanced EDR a la nube de Cytomic.	Todos Hace menos de 24 horas Hace menos de 3 días Hace menos de 7 días Hace menos de 30 días Hace más de 3 días Hace más de 7 días Hace más de 30 días
Protección actualizada	La protección instalada coincide con la última versión publicada o no.	Todos Si No Pendiente de reinicio
Plataforma	Sistema operativo instalado en el equipo.	Todos Windows Linux macOS Android
Conocimiento actualizado	Indica si el fichero de firmas encontrado en el equipo es o no el último publicado.	Binario
Conexión con servidores de conocimiento	Indica si el equipo es capaz de comunicarse con la nube de Cytomicpara enviar los eventos monitorizados y descargar la inteligencia de seguridad.	Todos Correcta Con problemas: uno o varios servicios no son accesibles
Estado de protección	Estado del módulo de protección instalado en el equipo.	Instalando... Correctamente protegido Protección con error Protección desactivada Sin licencia Error instalando
Estado de aislamiento	Configuración del aislamiento del equipo.	No aislado Aislado Aislando Dejando de aislar
Modo “Contención de ataque RDP”	Estado del modo de Contención de ataque RDP.	Todos No Si
Campos de filtrado para el listado Estado de protección de los equipos

Ventana detalle del equipo

Al hacer clic en una de las filas del listado se mostrará la ventana de detalle del equipo. Para obtener más información, consulta Información de equipo .

Actividad de malware / PUP

Muestra el listado de las amenazas encontradas en los equipos protegidos con Advanced EDR. Este detalle es necesario para poder localizar el origen de los problemas, determinar la gravedad de las incidencias y, si procede, tomar las medidas necesarias de resolución y de actualización de la política de seguridad de la compañía.

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Amenaza	Nombre de la amenaza detectada.	Cadena de caracteres
Ruta	Ruta completa donde reside el fichero infectado.	Cadena de caracteres
Ejecutado alguna vez	La amenaza se llegó a ejecutar y el equipo puede estar comprometido.	Binario
Ha accedido a datos	La amenaza ha accedido a datos que residen en el equipo del usuario.	Binario
Se ha comunicado con equipos externos	La amenaza se comunica con equipos remotos para enviar o recibir datos.	Binario
Acción	Acción aplicada sobre el malware.	Movido a cuarentena Bloqueado Desinfectado Eliminado Detectado Permitido (modo auditoría)
Fecha	Fecha de la detección de la amenaza en el equipo.	Fecha
Campos del listado de Actividad del malware / PUP

Campos mostrados en fichero exportado

En el menú de contexto de Listado de actividad Malware / PUP se muestra un desplegable con dos entradas diferentes: Exportar y Exportar listado y detalles. En este apartado se muestra el contenido de Exportar. Para obtener información sobre Exportar listado y detalles consulta Ficheros exportados Excel

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Amenaza	Nombre de la amenaza detectada.	Cadena de caracteres
Ruta	Ruta completa donde reside el fichero infectado.	Cadena de caracteres
Acción	Acción aplicada sobre el malware.	Movido a cuarentena Bloqueado Desinfectado Eliminado Permitido Permitido (modo auditoría)
Ejecutado	La amenaza se llegó a ejecutar y el equipo puede estar comprometido.	Binario
Acceso a datos	La amenaza ha accedido a datos que residen en el equipo del usuario.	Binario
Conexiones externas	La amenaza se comunica con equipos remotos para enviar o recibir datos.	Binario
Excluido	La amenaza ha sido excluida por el administrador para permitir su ejecución.	Binario
Fecha	Fecha de la detección de la amenaza en el equipo.	Fecha
Tiempo de exposición	Tiempo que la amenaza ha permanecido en el parque del cliente sin clasificar.	Cadena de caracteres
Usuario	Cuenta de usuario bajo la cual la amenaza se ha ejecutado.	Cadena de caracteres
MD5	Código MD5 del archivo detectado.	Cadena de caracteres
SHA-256	Código SHA-256 del archivo detectado.	Cadena de caracteres
Equipo origen de la infección	Nombre del equipo si el intento de infección viene de un equipo de la red del cliente.	Cadena de caracteres
IP origen de la infección	Dirección IP del equipo si el intento de infección viene de un equipo de la red del cliente.	Cadena de caracteres
Usuario origen de la infección	Usuario registrado en la máquina origen de la infección.	Cadena de caracteres
Campos del fichero exportado Actividad del malware / PUP

Herramienta de filtrado

Campo	Comentario	Valores
Buscar	Equipo: dispositivo donde se realizó la detección. Amenaza: nombre de la amenaza. Hash: Cadena resumen de identificación del archivo. Origen de la infección: busca por el usuario, la IP o el nombre del equipo origen del fichero infectado.	Cadena de caracteres
Tipo	Tipo de amenaza a mostrar.	Malware PUP
Fechas	Establece un intervalo de fechas desde el día presente hacia el pasado.	Últimas 24 horas Últimos 7 días Último mes Último año
Ejecutado	La amenaza se llegó a ejecutar y el equipo puede estar comprometido.	Binario
Acción	Acción aplicada sobre la amenaza.	Movido a cuarentena Bloqueado Desinfectado Eliminado Permitido Detectado
Acceso a datos	La amenaza ha accedido a datos que residen en el equipo del usuario.	Binario
Conexiones externas	La amenaza se comunica con equipos remotos para enviar o recibir datos.	Binario
Campos de filtrado para el listado Actividad del malware / PUP

Ventana de detalle

Muestra información detallada del programa clasificado como malware / PUP. Consulta Detección del malware y PUP.

Actividad de exploits

Muestra el listado de equipos con programas comprometidos por intentos de explotación de vulnerabilidades. Este detalle es necesario para poder localizar el origen los problemas, determinar la gravedad de las incidencias y, si procede, tomar las medidas necesarias de resolución y de actualización de la política de seguridad de la compañía.

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Programa o driver comprometido	Programa que recibió el ataque de tipo exploit, o carga de driver vulnerable detectada.	Cadena de caracteres
Técnica de exploit	Identificador de la técnica utilizada para explotar las vulnerabilidades de los programas o drivers.	Cadena de caracteres
Exploit ejecutado	El exploit se llegó a ejecutar o fue bloqueado antes de afectar al programa vulnerable.	Binario
Acción	Permitido (modo auditoría): se informa al usuario de que el exploit ha realizado las acciones para las que fue programado. Al estar el modo auditoría activado, las amenazas se detectan pero no se bloquean ni eliminan. Consulta Modo auditoría Permitido: la protección anti-exploit está configurada en modo “Auditar”. El exploit se ejecutó. Permitido: la protección anti-exploit está configurada en modo “Auditar”. El exploit se ejecutó. No aplicable si la técnica del exploit es Driver vulnerable Bloqueado: el exploit fue bloqueado antes de su ejecución. Permitido por el usuario: se preguntó al usuario del equipo si finalizar el proceso comprometido y el usuario decidió permitir que el exploit continuara ejecutándose. Proceso finalizado: el exploit fue eliminado, pero se llegó a ejecutar parcialmente. No aplicable si la técnica del exploit es Driver vulnerable. Pendiente de reinicio: se informó al usuario de la necesidad de reiniciar el equipo para eliminar completamente el exploit. Mientras tanto éste se seguirá ejecutando. No aplicable si la técnica del exploit es Driver vulnerable.	Enumeración
Fecha	Fecha de la detección del intento de exploit en el equipo.	Fecha
Campos del listado de Actividad de exploits

Campos mostrados en fichero exportado

En el menú de contexto de Actividad de exploits se muestra un desplegable con dos entradas diferentes: Exportar y Exportar listado y detalles. En este apartado se muestra el contenido de Exportar. Para obtener información sobre Exportar listado y detalles consulta Ficheros exportados Excel

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Programa o driver comprometido	Programa que recibió el ataque de tipo exploit, o driver vulnerable detectado.	Cadena de caracteres
Técnica de exploit	Identificador de la técnica utilizada para explotar las vulnerabilidades de los programas.	Enumeración
Usuario	Cuenta de usuario bajo la cual se ejecutaba el programa que recibió el exploit.	Cadena de caracteres
Acción	Permitido: la protección anti-exploit está configurada en modo “Auditar”. El exploit se ejecutó. No aplicable si la técnica del exploit es Driver vulnerable Bloqueado: el exploit fue bloqueado antes de su ejecución. Permitido por el usuario: se preguntó al usuario del equipo si finalizar el proceso comprometido y el usuario decidió permitir que el exploit continuara ejecutándose. Proceso finalizado: el exploit fue eliminado, pero se llegó a ejecutar parcialmente. No aplicable si la técnica del exploit es Driver vulnerable. Pendiente de reinicio: se informó al usuario de la necesidad de reiniciar el equipo para eliminar completamente el exploit. Mientras tanto éste se seguirá ejecutando. No aplicable si la técnica del exploit es Driver vulnerable Permitido (modo auditoría):se informa al usuario de que el exploit ha realizado las acciones para las que fue programado. Al estar el modo auditoría activado, las amenazas se detectan pero no se bloquean ni eliminan. Consulta Modo auditoría	Enumeración
Exploit ejecutado	El exploit se llegó a ejecutar o fue bloqueado antes de afectar al programa vulnerable.	Binario
Fecha	Fecha de la detección del intento de exploit en el equipo.	Fecha
Campos del fichero exportado Actividad de exploits

Herramienta de búsqueda

Campo	Comentario	Valores
Buscar	Equipo: dispositivo donde se realizó la detección. Hash: Cadena resumen de identificación del programa comprometido. Programa comprometido: nombre del fichero comprometido o de su ruta.	Enumeración
Fechas	Intervalo de fechas desde el día presente hacia el pasado.	Últimas 24 horas Últimos 7 días Último mes
Exploit ejecutado	El exploit se llegó a ejecutar o fue bloqueado antes de afectar al programa vulnerable.	Binario
Acción	Permitido (modo auditoría): se informa al usuario de que el exploit ha realizado las acciones para las que fue programado. Al estar el modo auditoría activado, las amenazas se detectan pero no se bloquean ni eliminan. Consulta Modo auditoría Permitido: la protección anti-exploit está configurada en modo “Auditar”. El exploit se ejecutó. No aplicable si la técnica del exploit es Driver vulnerable. Bloqueado: el exploit fue bloqueado antes de su ejecución. Permitido por el usuario: se preguntó al usuario del equipo si finalizar el proceso comprometido y el usuario decidió permitir que el exploit continuara ejecutándose. Proceso finalizado: el exploit fue eliminado, pero se llegó a ejecutar parcialmente. No aplicable si la técnica del exploit es Driver vulnerable. Pendiente de reinicio: se informó al usuario de la necesidad de reiniciar el equipo para eliminar completamente el exploit. Mientras tanto éste se seguirá ejecutando. No aplicable si la técnica del exploit es Driver vulnerable.	Enumeración
Campos de filtrado para el listado Actividad de exploits

Ventana de detalle

Muestra información detallada del programa clasificado como exploit. Consulta Detección exploit.

Si se trata de un exploit de técnica driver vulnerable, consulta Detalles del driver

Bloqueos por políticas avanzadas de seguridad

Muestra el listado de los programas bloqueados mediante las políticas avanzadas de seguridad. Estas políticas impiden la ejecución de scripts y programas desconocidos que utilizan técnicas avanzadas de infección.

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Usuario	Cuenta de usuario bajo la cual la amenaza se intentó ejecutar.	Cadena de caracteres
Ruta	Ruta completa donde reside el fichero bloqueado.	Cadena de caracteres
Acción	Acción aplicada sobre el fichero.	Detectado Bloqueado Permitido (modo auditoría)
Política	Para obtener más información, consulta Políticas avanzadas de seguridad .	Powershell con parámetros sospechosos PowerShell ejecutado por el usuario Script desconocido Programa compilado localmente Documento con macros Registro para arranque al inicio de Windows Bloqueos de programas por MD5 Bloqueos de programas por nombre
Fecha	Fecha de la detección de la amenaza en el equipo.	Fecha
Campos del listado de Bloqueos por políticas avanzadas de seguridad

Campos mostrados en fichero exportado

En el menú de contexto de Bloqueos por políticas avanzadas de seguridad se muestra un desplegable con dos entradas diferentes: Exportar y Exportar listado y detalles. En este apartado se muestra el contenido de Exportar. Para obtener información sobre Exportar listado y detalles, consulta Ficheros exportados Excel

Campo	Comentario	Valores
Equipo	Nombre del equipo donde se ha detectado a la amenaza.	Cadena de caracteres
Política	Consulta Políticas avanzadas de seguridad para obtener más información.	PowerShell con parámetros sospechosos PowerShell ejecutado por el usuario Script desconocido Programa compilado localmente Documento con macros Registro para arranque al inicio de Windows Bloqueos de programas por MD5 Bloqueos de programas por nombre
Ruta	Ruta completa donde reside el fichero.	Cadena de caracteres
Acción	Acción aplicada sobre el fichero.	Detectado Bloqueado Permitido (modo auditoría)
Fecha	Fecha de la detección de la amenaza en el equipo.	Fecha
Usuario	Cuenta de usuario bajo la cual la amenaza se intentó ejecutar.	Cadena de caracteres
MD5	MD5 del programa bloqueado.	Cadena de caracteres
SHA-256	SHA-256 del programa bloqueado.	Cadena de caracteres
Campos del fichero exportado Bloqueos por políticas avanzadas de seguridad

Herramienta de filtrado

Campo	Comentario	Valores
Buscar	Equipo: nombre del dispositivo donde se realizó la detección. Programa comprometido: nombre del programa bloqueado por la política de seguridad. Usuario: busca por el nombre del usuario logeado en el equipo cuando se realizó la detección.	Cadena de caracteres
Fechas	Establece un intervalo de fechas desde el día presente hacia el pasado.	Últimas 24 horas Últimos 7 días Último mes Último año
Acción	Acción aplicada sobre la amenaza.	Bloqueado Detectado
Política aplicada	Para obtener más información, consulta Políticas avanzadas de seguridad .	Powershell con parámetros sospechosos PowerShell ejecutado por el usuario Script desconocido Programa compilado localmente Documento con macros Registro para arranque al inicio de Windows Bloqueos de programas por MD5 Bloqueos de programas por nombre
Campos de filtrado para el listado Bloqueos por políticas avanzadas de seguridad

Ventana de detalle

Muestra información detallada del programa bloqueado por las políticas de seguridad avanzadas. Consulta Bloqueo por política avanzada de seguridad.

Actividad de ataques de red

Muestra el listado de los ataques de red detectados y bloqueados mediante el módulo Protección contra ataques de red.

Campo	Descripción	Valores
Equipo	Nombre del equipo.	Cadena de caracteres
Ataque de red	Nombre del ataque de red. Para más información, consulta https://www.pandasecurity.com/es/support/card?id=700145	Cadena de caracteres.
Dirección IP Local	Dirección IP local del equipo.	Dirección IP
Acción	Acción realizada.	Detectado Bloqueado
Dirección IP Remota	Dirección IP de origen del ataque.	Dirección IP
Fecha	Fecha de la detección o bloqueo.	Fecha
Campos del listado Actividad de ataques de red

Campos mostrados en el fichero exportado

Campo	Descripción	Valores
Equipo	Nombre del equipo.	Cadena de caracteres
Ataque de red	Tipo de ataque de red.	Cadena de caracteres
Acción	Acción realizada sobre el ataque.	Detectar Bloquear
Dirección IP Local	Dirección IP local del equipo.	Dirección IP
Dirección IP Remota	Dirección IP remota del ataque.	Dirección IP
Puerto local	Puerto local en el que se detecta o bloquea el ataque.	Cadena de caracteres
Puerto remoto	Puerto remoto desde el que se detecta o bloquea el ataque.	Cadena de caracteres
Fecha	Fecha en la detección del ataque.	Fecha
Number of occurrences	Número de detecciones registradas con el mismo tipo de ataque y la misma IP de origen en una hora.	Cadena de caracteres
Campos del fichero exportado Actividad de ataques de red

Herramienta de búsqueda

Campo	Descripción	Valores
Equipo	Nombre del equipo.	Cadena de caracteres
Ataques de red	Tipo de ataque de red.	Cadena de caracteres
Fechas	Rango de fechas.	Últimas 24 horas Últimos 7 días Último mes
Acción	Acción realizada sobre la amenaza.	Detectado Bloqueado
Campos de filtrado para el listado Actividad de ataques de red

Ventana de detalle

Campo	Descripción	Valores
Ataque de red	Tipo de ataque de red. Haz clic en el icono para ver más información.	Cadena de caracteres
Acción	Acción realizada sobre la detección. Consulta No volver a detectar la llegada de tráfico de red sospechoso para obtener información de como gestionar los bloqueos de las amenazas detectadas.	Detectado Bloqueado
Equipo	Nombre del equipo donde se detectó la amenaza, dirección IP y carpeta a la que pertenece en el árbol de grupos.	Nombre: nombre del equipo. Dirección IP:IP del equipo que ha recibido el ataque. Grupo:carpeta dentro del árbol de grupos de Advanced EDR a la que pertenece el equipo.
Dirección IP Local	Dirección IP local del equipo.	Dirección IP
Dirección IP Remota	Dirección IP remota del ataque de red.	Dirección IP
Puerto local	Puerto local en el que se detecta o bloquea el ataque de red.	Cadena de caracteres
Puerto remoto	Puerto remoto desde el que se detecta o boquea el ataque de red.	Cadena de caracteres
Fecha de detección	Fecha en la que se detectó el ataque de red.	Fecha
Número de repeticiones	Numero de detecciones registradas con el mismo tipo de ataque y la misma IP de origen en una hora.	Cadena de caracteres
Campos de la sección Información general en Actividad de ataques de red