Hoja de ruta

Detecta cambios no autorizados en archivos de los equipos supervisados: modificaciones, eliminaciones y cambios de permisos en archivos del sistema, directorios de configuración y binarios de aplicaciones. Incluye políticas predefinidas para PCI-DSS, CIS Benchmark y NIS2. Cada desviación de la línea base genera una alerta con el hash del archivo, la hora y el usuario o proceso que realizó el cambio.

Los eventos Security, System y Application de Windows en un solo lugar: inicios de sesión (correctos y fallidos), cambios de cuentas, cambios de pertenencia a grupos y uso de privilegios. 10 plantillas de detección cubren fuerza bruta, borrado de registros de auditoría, instalaciones sospechosas de servicios y más. Cada evento muestra el perfil del usuario en Active Directory.

Supervisa los objetos de directiva de grupo (GPO) en todos los dominios de Active Directory: creación, modificaciones, eliminación y cambios de vínculos, con historial completo. Cada directiva se evalúa según las recomendaciones de seguridad y se señalan las desviaciones respecto a la línea base aprobada. Una comparación lado a lado muestra exactamente qué cambió entre dos versiones.

Análisis del comportamiento de usuarios y entidades (UEBA): el aprendizaje automático aprende el comportamiento habitual de cada usuario y dispositivo e informa de las desviaciones, como horarios de inicio de sesión inusuales, viajes imposibles, accesos a datos anormalmente grandes o una primera conexión a un sistema sensible, sin escribir reglas. Cada anomalía recibe una puntuación de riesgo según la criticidad del activo, el rol del usuario y su historial, y se compara con usuarios de roles similares.

Identifica malware, canales de mando y control y aplicaciones no autorizadas en el tráfico cifrado mediante las huellas JA3/JA4+ del handshake TLS, sin descifrar nada ni desplegar certificados. Una base de firmas asigna las huellas maliciosas conocidas a familias de amenazas y sus propias reglas pueden marcar aplicaciones o versiones de TLS concretas. Cada coincidencia incluye el contexto de la conexión obtenido de NetFlow.

Descubre y clasifica los dispositivos de forma pasiva a partir del tráfico NetFlow, DHCP, DNS y ARP que ya circula por su red, sin escaneo activo ni agentes, lo que resulta adecuado para entornos OT e IoT. Los dispositivos se ordenan por tipo (servidor, estación de trabajo, impresora, IoT, equipos de red) y un dispositivo nuevo o desconocido se notifica en cuanto aparece. Los resultados completan el módulo de activos existente con volumen de tráfico, historial de conexiones y vulnerabilidades.