Campos de metadatos de seguridad de red en Vectra AI

Esta página proporciona una referencia estructurada de los campos de metadatos de seguridad de red utilizados en toda la Vectra AI . Define atributos de esquema comunes, campos de conectividad de capa de sesión, telemetría específica de protocolo (DNS, HTTP, SMB, LDAP, etc.), metadatos de autenticación (Kerberos, NTLM, RADIUS), atributos de coincidencia de capa de detección y huellas digitales de comunicación cifrada (SSL/TLS, SSH, X.509). Estos flujos de metadatos normalizados permiten el análisis del comportamiento, la correlación entre dominios y la visibilidad del tráfico cifrado sin necesidad de capturar paquetes completos. En conjunto, constituyen la base para la observabilidad escalable de la red y la investigación de la seguridad en entornos empresariales híbridos.

Estos flujos de metadatos normalizados admiten la búsqueda de amenazas, el enriquecimiento de metadatos y el análisis forense de metadatos al permitir el análisis del comportamiento, la correlación entre dominios y la visibilidad del tráfico cifrado, sin necesidad de capturar paquetes completos. Juntos, forman la base para la observabilidad y la investigación escalables de la red en entornos empresariales híbridos.

Campos de metadatos de red comunes en todos los flujos de telemetría (excepto DHCP)

Estos campos aparecen en casi todos los flujos de metadatos y definen el esquema de conexión compartido que se utiliza en todos los tipos de metadatos. Capturan identificadores de origen y de respuesta, puertos, nombres de host, indicadores de localidad, atribución de sensores, marcas de tiempo y un UID de conexión estable.

Trate estos campos como claves de unión de referencia. Sirven de base para los flujos de trabajo de enriquecimiento de metadatos, ya que permiten vincular los registros de protocolo, autenticación y detección a la misma sesión y entidad. En la búsqueda de amenazas y el análisis forense de metadatos, esta coherencia permite un pivote fiable entre las capas de telemetría.

La mayoría de las tablas de protocolo que siguen amplían este esquema al tiempo que heredan este contexto compartido. Esto preserva la integridad de la atribución y la continuidad de la sesión en los flujos de metadatos de la red.

Campos de metadatos de balizas y patrones de comunicación conductual

Los metadatos de baliza describen la comunicación repetida entre un origen y un destino a lo largo de múltiples sesiones. Los campos siguientes recogen el identificador de baliza, los límites de tiempo, el recuento de sesiones, el volumen de bytes por dirección, el contexto del protocolo/servicio y las huellas digitales del cliente utilizadas para resumir el patrón.

El análisis de balizas se utiliza con frecuencia en la búsqueda de amenazas para identificar devoluciones de llamada de comando y control, bucles de automatización y comunicaciones salientes persistentes. En lugar de inspeccionar los paquetes, los analistas se basan en tipos de metadatos que describen la periodicidad y la coherencia.

Utilice estos campos para evaluar la duración, la frecuencia y el volumen direccional. A continuación, pase a los metadatos DNS, HTTP o SSL/TLS para obtener un contexto de comportamiento más profundo durante el análisis forense de metadatos.

Deje de buscar el «qué» detrás de las detecciones de red.

La señalización es solo una señal de comportamiento. Cuando se activan metadatos de red sospechosos, los analistas aún necesitan comprender qué proceso o identidad del punto final lo inició. Sin esa conexión, las investigaciones se estancan.

Ver correlación de procesos de punto final

Campos de metadatos DCE-RPC y atributos de llamada a procedimiento remoto

Los metadatos DCE-RPC capturan el comportamiento de las llamadas a procedimientos remotos que suelen asociarse con la administración de Windows y la interacción de servicios. Estos campos codifican el contexto del dominio, la resolución de los puntos finales, las operaciones invocadas, la atribución del nombre de usuario y la sincronización de las solicitudes y respuestas.

En la búsqueda de amenazas, los metadatos DCE-RPC ayudan a detectar secuencias de ejecución remota anómalas y patrones de uso de privilegios sin necesidad de registros de terminales.

Utilice nombres de operaciones y el contexto de nombre de usuario/host para distinguir los flujos de trabajo administrativos rutinarios de la actividad de movimiento lateral durante el análisis forense de metadatos.

Campos de metadatos DHCP y atributos de configuración de red

Los metadatos DHCP registran las asignaciones dinámicas de direcciones y configuraciones que colocan los dispositivos en la red. Estos tipos de metadatos vinculan las direcciones IP asignadas con las direcciones MAC y los nombres de host, al tiempo que registran la duración del arrendamiento y la atribución del servidor DHCP/DNS.

Dado que la rotación de direcciones IP complica la investigación, los registros DHCP proporcionan metadatos esenciales para mantener la continuidad de la atribución.

Utilice los campos DHCP para estabilizar las investigaciones cuando cambien las direcciones IP, fijando la identidad a los atributos a nivel de dispositivo en lugar de a direcciones efímeras.

Campos de metadatos DNS y atributos de respuesta a consultas

Los metadatos DNS representan el comportamiento de resolución de dominios, incluyendo la intención de la consulta, el manejo de la recursividad, los códigos de respuesta, los indicadores de truncamiento, los valores TTL y el recuento de registros.

Los metadatos de la red DNS son fundamentales para la búsqueda de amenazas, ya que revelan la infraestructura de preparación, los cambios de dominio, el reconocimiento y los intentos fallidos de devolución de llamada sin necesidad de inspeccionar la carga útil.

Los metadatos DNS permiten ver:

• ¿Qué dominios se consultaron y quién los consultó?
  
• Si se solicitó o estaba disponible la recursividad.
  
• Cómo se devolvieron las respuestas autorizadas
  
• ¿Qué códigos de respuesta y valores TTL se observaron?

Utilice el análisis forense de metadatos DNS para interpretar la intención y el resultado, qué se consultó, qué se devolvió y si la resolución falló, y luego pase a los metadatos TLS o HTTP para ampliar el análisis.

Campos de metadatos HTTP y atributos de sesión web

Los metadatos HTTP resumen el comportamiento de la capa web sin almacenar cargas completas. Estos campos capturan el contexto derivado del encabezado, los métodos, los URI, los indicadores de reenvío de proxy, los atributos de huellas digitales y las métricas direccionales de bytes/paquetes.

En las investigaciones de metadatos de red, los campos HTTP proporcionan contexto de la capa de aplicación para la búsqueda de amenazas, incluyendo transferencias de archivos sospechosas, devoluciones de llamada programadas y estructuras de encabezado anómalas.

Utilice metadatos HTTP para reconstruir el comportamiento web y, a continuación, correlacione los tipos de metadatos DNS y TLS para confirmar la identidad del destino y las características de cifrado.

Metadatos de conectividad de iSession y atributos de red a nivel de sesión

Los metadatos de iSession definen el modelo de sesión normalizado utilizado en todos los protocolos. Capturan el estado de la conexión, la confianza direccional, los marcadores de tiempo, las variantes de huellas digitales, el contexto VLAN y los recuentos direccionales de bytes/paquetes.

Esta abstracción de la capa de sesión permite el enriquecimiento escalable de metadatos mediante la estandarización de la representación de los metadatos de red, independientemente del protocolo.

Considere iSession como el eje central durante la búsqueda de amenazas. Proporciona una continuidad de sesión estable en todos los tipos de metadatos de protocolo, autenticación y detección.

Valores del estado de conexión e indicadores del ciclo de vida de la sesión TCP

Los valores del estado de conexión codifican cómo ha progresado una sesión: establecida, rechazada, restablecida, semiabierta o incompleta. Estos indicadores son tipos de metadatos de comportamiento que revelan sesiones de exploración, sondeo, comunicación inestable o abortadas.

Utilice los estados del ciclo de vida junto con los campos de tiempo y volumen para priorizar los patrones de reconocimiento durante el análisis forense de metadatos.

Campos de metadatos Kerberos y atributos de tickets de autenticación

Los metadatos de Kerberos recogen la emisión de tickets, el tipo de autenticación, la puntuación de privilegios, la negociación de cifrado y los estados de éxito/error. Estos tipos de metadatos de la capa de identidad son esenciales para detectar el uso indebido de credenciales y la escalada de privilegios.

Los metadatos de Kerberos permiten ver:

• Niveles de privilegios de cuenta y servicio (bajo, medio, alto)
  
• Tipos de solicitud y respuesta de tickets (AS, TGT)
  
• Uso y negociación del cifrado
  
• Condiciones de éxito y error de la autenticación

Utilice categorías de privilegios y tipos de solicitudes para centrar la búsqueda de amenazas en cuentas y servicios de alto impacto, y luego pase a LDAP o telemetría de sesión para la validación.

Campos de metadatos LDAP y atributos de consulta de directorios

Los metadatos LDAP resumen el comportamiento de búsqueda y enlace del directorio, incluyendo el alcance de la consulta, la selección de atributos, el recuento de resultados y las condiciones de error.

El análisis forense de metadatos de directorios resulta especialmente útil para identificar enumeraciones previas al abuso de autenticación.

Utilice el volumen de resultados y los patrones de error para distinguir las búsquedas rutinarias de los descubrimientos a gran escala durante los flujos de trabajo de búsqueda de amenazas.

Match los campos Match y los atributos de firma de alerta.

Match representan el resultado evaluado de la detección, en lugar de la telemetría sin procesar. Estos tipos de metadatos describen la identidad de la firma, la gravedad, el estado de revisión, el alcance de la implementación y el contexto del paquete.

Esta capa refleja cómo se interpretaron los metadatos de red mediante la lógica de detección.

Utilice los metadatos de coincidencia para comprender por qué se activó una detección y, a continuación, vuelva al protocolo subyacente y a los metadatos de la sesión para obtener una reconstrucción completa.

Campos de metadatos NTLM y atributos de respuesta de autenticación

Los metadatos NTLM capturan los intentos y resultados de autenticación, incluyendo el host, el dominio, el nombre de usuario, el código de estado y el estado de éxito.

En entornos donde NTLM permanece activo, estos tipos de metadatos son importantes para identificar el abuso de la autenticación de respaldo.

Utilice los fallos repetidos o los patrones de éxito anómalos como señales de búsqueda de amenazas y, a continuación, correlacione los datos con los metadatos SMB o RDP.

Campos de metadatos RDP y atributos de sesión de escritorio remoto

Los metadatos RDP capturan atributos interactivos de la sesión remota, incluyendo la identidad del cliente, el control de versiones, las características de visualización y los indicadores de cifrado.

Estos tipos de metadatos permiten investigar los patrones de acceso administrativo sin descifrar el contenido.

Patrones de acceso remoto esperados de referencia y desviaciones marcadas durante el análisis forense de metadatos.

Campos de metadatos RADIUS y atributos de contabilidad de autenticación

Los registros de metadatos RADIUS registran el comportamiento de autenticación y contabilidad del control de acceso, incluyendo identificadores de sesión, duración, contadores de paquetes/bytes, direccionamiento y marcadores de políticas.

Estos tipos de metadatos de red ayudan a rastrear las rutas de acceso remoto a través de VPN, NAC o sistemas inalámbricos.

Utilice los campos de contexto de contabilidad y NAS para validar el alcance y la duración del acceso antes de pasar a la actividad SMB o RDP.

Campos de metadatos RADIUS ampliados y atributos de control de acceso a la red

Los metadatos RADIUS ampliados añaden contexto sobre los dispositivos y la aplicación: identificadores y puertos NAS, tiempos de espera de sesión e inactividad, puntos finales del túnel, indicadores de fuentes externas, tiempo de respuesta y si se observaron campos confidenciales (como contraseñas). Estos campos ayudan a interpretar cómo se implementaron las decisiones de acceso.

Utilice el contexto NAS y túnel para identificar dónde se concedió el acceso, qué servicio se solicitó y cuánto tiempo persistió, lo que resulta especialmente útil a la hora de rastrear las rutas de acceso remoto a la actividad interna SMB/RDP.

Campos de metadatos de archivos SMB y atributos de operaciones con archivos

Los metadatos de los archivos SMB capturan operaciones a nivel de archivo, incluyendo la creación, el cambio de nombre, el comportamiento de eliminación al cerrar, el contexto de la ruta, la versión SMB y la atribución del usuario.

Estos tipos de metadatos son fundamentales para las investigaciones sobre ransomware y la propagación lateral.

Utilice acciones de archivo y patrones de renombramiento para identificar comportamientos destructivos durante la búsqueda de amenazas.

Campos de metadatos de mapeo de SMB y atributos de conexión compartida

Los metadatos de mapeo SMB capturan las conexiones de árbol y el acceso compartido antes de la interacción con los archivos.

Esta capa proporciona enriquecimiento de metadatos al vincular la identidad del usuario con el contexto de acceso compartido.

Utilice eventos de mapeo para establecer el linaje de acceso antes de analizar las operaciones a nivel de archivo.

Campos de metadatos SMTP y atributos del encabezado del correo electrónico

Los metadatos SMTP capturan los atributos del encabezado del correo y los resultados de la autenticación, incluyendo SPF, DKIM, DMARC, uso de TLS e IP de origen. Los metadatos de red relacionados con el correo electrónico permiten la búsqueda de amenazas para detectar phishing y comportamientos de remitentes falsos.

Utilizar los resultados de la autenticación y los metadatos de la cadena de retransmisión para la validación forense de la legitimidad del remitente.

Campos de metadatos SSH y atributos de negociación de sesión cifrada

Los metadatos SSH capturan detalles de la negociación, incluyendo versiones de cliente/servidor, intercambio de claves, selección de cifrado, algoritmo MAC y hash de huellas digitales. Estos tipos de metadatos permiten identificar herramientas administrativas anómalas y comportamientos no autorizados del shell remoto.

Utilice campos de algoritmos y huellas digitales para establecer una base de referencia de las herramientas administrativas previstas e identificar clientes o patrones de negociación inusuales, y luego pase a la conectividad de la sesión para comprender la duración, la dirección y el volumen de la misma sesión SSH.

Campos de metadatos SSL/TLS y atributos de sesión cifrados

Los metadatos SSL/TLS capturan las características de la negociación del protocolo de enlace y el intercambio de certificados para las sesiones cifradas. Los campos siguientes incluyen las versiones del protocolo, el conjunto de cifrado elegido, los parámetros de la curva, las extensiones del cliente/servidor, los identificadores del emisor/sujeto, SNI y huellas digitales JA3/JA4, además del estado del establecimiento.

Utilice huellas digitales TLS y SNI/contexto de certificado para identificar las implementaciones de cliente/servidor y la identidad de destino, y luego pase a X.509 para inspeccionar las propiedades del certificado y la cobertura SAN para un análisis de confianza más profundo.

Campos de metadatos del certificado X.509 y atributos del certificado digital

Los registros de metadatos X.509 registran la identidad del certificado y las características de confianza, incluyendo la composición del sujeto/emisor, los periodos de validez, los valores SAN, la longitud de la clave, el algoritmo de firma y la huella digital JA4X. Estos tipos de metadatos admiten el análisis forense de metadatos basados en certificados y la detección de infraestructuras sospechosas.

Utilice los atributos X.509 para evaluar la postura de confianza y reutilizar patrones, y luego correlacione con los metadatos TLS y DNS para completar la cadena de investigación.