Tipos de preguntas en investigaciones asistidas

En una investigación asistida no todas las preguntas están disponibles en todo momento: la investigación solo muestra las preguntas compatibles con el conjunto de datos obtenido de la respuesta previa.

Consulta Formato de los eventos utilizados en Cytomic Orion para conocer el significado de los campos devueltos en cada respuesta.

Los tipos de preguntas disponibles y su descripción son:

Nombre de la pregunta	Descripción
Blocked operations on the computer	Obtiene las operaciones bloqueadas registradas en el equipo especificado. Parámetros de entrada: Computer ID (MUID): identificador del equipo Resultado: Listado de los eventos de operaciones bloqueadas asociados al equipo.
Child process hierarcy	Obtiene el árbol de procesos hijo del proceso padre especificado. Parámetros de entrada: Process (Computer ID/MUID, File MD5, Process ID/PID): identificador del equipo, MD5 del fichero, identificador del proceso Resultado: Listado con la jerarquía de procesos.
Command line information	Muestra la linea de comandos decodificada asociada al proceso especificado y los indicios encontrados. Parámetros de entrada: Computer ID (MUID): identificador del equipo Command line: linea de comandos asociada al proceso Resultado: Listado de indicios encontrados en la linea de comandos.
Computer indicators	Obtiene el listado de indicios encontrados en el equipo especificado. Parámetros de entrada: Computer ID (MUID): identificador del equipo Resultado: Listado con los indicadores encontrados. Para obtener los detalles haz clic en un indicio. Consulta Listado de indicios.
Computer information by MUID or IP address	Obtiene información de las características del equipo especificado. Parámetros de entrada: Client: identificador del cliente Computer ID (MUID): identificador del equipo Computer IP address: dirección IP del equipo Resultado: Información de las características del equipo. Consulta Detalles del equipo.
Computer process activity	Obtiene los eventos registrados en el equipo especificado. Parámetros de entrada: Computer ID (MUID): identificador del equipo Process (Computer ID/MUID, File MD5, Process ID/PID): identificador del equipo, MD5 del fichero, identificador del proceso Resultado: Listado de eventos con las operaciones registradas en el equipo.
Computer process indicators	Obtiene el listado de indicios asociados a un proceso del equipo especificado. Parámetros de entrada: Process (Computer ID/MUID, File MD5, Process ID/PID): identificador del equipo, MD5 del fichero, identificador del proceso Resultado: Listado con los indicadores encontrados. Para obtener los detalles haz clic en un indicio. Consulta Listado de indicios.
Computers with a specific file	Obtiene una lista de los equipos donde se ha visto el fichero especificado por su nombre. Parámetros de entrada: File Name: nombre del fichero Resultado: Listado de los equipos donde se ha visto el fichero.
Computers with a specific MD5	Obtiene una lista de los equipos donde se ha visto el fichero especificado por su hash MD5. Parámetros de entrada: MD5: hash MD5 del fichero Resultado: Listado de los equipos donde se ha visto el fichero.
Connections to a specific URL	Obtiene una lista de equipos que se conectaron a la URL especificada. Parámetros de entrada: Host Name: nombre del equipo Resultado: Listado con los equipos que se conectaron a la URL.
External MD5 information	Obtiene información suministrada por proveedores externos del fichero especificado por su MD5. Parámetros de entrada: Computer ID (MUID): identificador del equipo MD5: hash MD5 del fichero Resultado: Información suministrada por los proveedores: VirusTotal WHOIS Urlscan.io AbuseIPDB AlienVault OTX IBM X-Force Intel471
File activity on the computer	Obtiene los eventos relacionados con el fichero especificado por su nombre. Parámetros de entrada: Computer ID (MUID): identificador del equipo File Name: nombre del fichero Resultado: Listado con los eventos relacionados con el fichero.
File modifications	Obtiene una lista de las operaciones de creación, modificación y borrado del fichero especificado por el nombre o hash MD5. El software de protección no monitoriza todos los ficheros del equipo, solo aquellos que: Contienen certificados o contraseñas Se inician automáticamente cuando arranca el sistema operativo Se ejecutan desde el programador de tareas Están almacenados en carpetas poco frecuentes Son accedidos por aplicaciones atípicas. La lista de operaciones ejecutadas sobre un fichero puede no estar disponible cuando se el fichero se especifica por su MD5. Parámetros de entrada: MD5: hash MD5 del fichero File Name: nombre del fichero Resultado: Listado de los eventos de creación, modificación o borrado asociados al fichero.
File names associated with a URL	Obtiene una lista de ficheros almacenados en el equipo descargados desde una URL especificada. Al seleccionar un fichero de la lista devuelta, se muestra la lista de conexiones involucradas en la descarga de ese fichero en particular. Parámetros de entrada: Host Name: nombre del equipo Resultado: Lista de ficheros asociados con la URL.
File names for an MD5	Obtiene un listado de nombres de fichero del hash MD5 especificado. Parámetros de entrada: MD5: hash MD5 del fichero Resultado: Listado de nombres de fichero.
IP address information	Obtiene una tabla con la información asociada a la IP especificada suministrada por los proveedores externos Parámetros de entrada: IP Address: dirección IP del equipo Resultado: Información suministrada por los proveedores externos: VirusTotal WHOIS Urlscan.io AbuseIPDB AlienVault OTX IBM X-Force Intel471
Login and logout information	Obtiene los inicios y cierres de sesión del equipo especificado. Parámetros de entrada: Computer ID (MUID): identificador del equipo Resultado: Listado con los inicios y cierres de sesión.
Logins and logouts on a client computers	Obtiene los inicios y cierres de sesión del usuario especificado. Parámetros de entrada: User: identificador de usuario Resultado: Diagrama de lineas con los intentos de inicio y cierre de sesión registrados en el equipo. Tabla con la información de intentos de inicio y cierre de sesión agrupada por equipo. Al seleccionar un equipo de la tabla se muestra el detalle de cada inicio de sesión
MD5 activity on a computer	Obtiene la actividad del fichero especificado por su MD5 en un equipo. Parámetros de entrada: Computer ID (MUID): identificador del equipo MD5: hash MD5 del fichero Resultado: Listado con los eventos relacionados con el MD5 en el equipo.
MD5 activity on client computers	Obtiene la actividad del fichero especificado por su MD5 en todos los equipos del cliente. Parámetros de entrada: MD5: hash MD5 del fichero Resultado: Listado con los eventos relacionados con el MD5 en el equipo.
MD5s for a file name	Obtiene todos los nombres de fichero vistos en los equipos del cliente para el MD5 especificado. Parámetros de entrada: File Name:nombre del fichero Resultado: Listado de MD5s.
URLs associated with a file	Obtiene una lista de URLs que contienen el fichero especificado por su nombre. Parámetros de entrada: File Name:nombre del fichero Resultado: Listado de URLs que contienen el nombre del fichero.
URLs associated with an MD5	Obtiene una lista de URLs relacionadas con el fichero especificado por su hash MD5. Parámetros de entrada: MD5: hash MD5 del fichero Resultado: Listado de URLs relacionadas con el MD5.
URLs associated with a user	Obtiene las URLs accedidas por el identificador de usuario especificado. Parámetros de entrada: User: identificador de usuario Resultado: Lista de URLs accedidas por el usuario.
USB devices	Obtiene una lista de los dispositivos USB conectados al equipo especificado por su MUID. Parámetros de entrada: Computer ID (MUID): identificador del equipo Resultado: Lista de dispositivos USB conectados al equipo con sus características.
User activity on client computers	Obtiene la actividad del usuario especificado en los equipos del cliente. Parámetros de entrada: User: identificador de usuario Resultado: Listado con un resumen de la actividad del usuario registrada en los equipos del cliente.
User activity on a computer	Obtiene la actividad del usuario especificado en el equipo especificado. Parámetros de entrada: Computer ID (MUID): identificador del equipo User: identificador de usuario Resultado: Listado con la actividad del usuario en el equipo.
User indicators	Obtiene una lista de indicios asociada al usuario especificado en todos los equipos del cliente. Parámetros de entrada: User: identificador de usuario Resultado: Listado de indicios asociados al usuario en los equipos del cliente.
Users associated with connections to a specific computer	Obtiene los usuarios que acceden a la URL especificada. Parámetros de entrada: User: identificador de usuario Resultado: Listado de usuarios que acceden a la URL.
Preguntas disponibles en una investigación asistida