Skip to main content
Esta guía se aplica a computadoras Mac
Se requiere el complemento Endpoint Detection and Response para usar el shell remoto.

​
Acerca del shell remoto

El shell remoto ofrece a los administradores una línea de comandos segura en una Mac gestionada desde la Iru Endpoint Web App. Los administradores pueden investigar una detección, responder a una amenaza o recuperar un archivo sin una herramienta de acceso remoto independiente. Inicia una sesión desde una detección o desde un registro del dispositivo. El shell remoto es una acción de respuesta de la página Detections. Para conocer el estado, las etiquetas y otras acciones de operaciones de seguridad, consulta Acciones de operaciones de seguridad en Endpoint Detection.

​
Cómo funciona

Al seleccionar Iniciar shell remoto, se abre la página Terminal de shell remoto, que comienza a conectarse a la Mac. Si ese intento falla, selecciona Conectar para volver a intentarlo. El shell remoto funciona mientras la Mac está en aislamiento parcial. No funciona mientras la Mac está en aislamiento completo.

​
Requisitos previos

Licencias

El shell remoto está incluido con un complemento activo de Endpoint Detection and Response.

Permisos

Para iniciar una sesión se necesita permiso para gestionar amenazas y acciones de dispositivos. Consulta Permisos de los roles de los miembros del equipo.

Límites de sesión

Solo puede haber una sesión de shell remoto abierta en la aplicación web a la vez, y solo puede haber una sesión activa en una Mac a la vez.

Aislamiento

El shell remoto funciona mientras la Mac está en aislamiento parcial. No funciona mientras la Mac está en aislamiento completo.

​
Iniciar una sesión desde Detections

1

Abrir Detecciones

En la barra de navegación del lado izquierdo, selecciona Detecciones (en Endpoint).
2

Abrir el panel lateral

Selecciona una detección para abrir el panel lateral.
3

Abrir el menú del dispositivo

En el panel lateral, busca la Mac afectada y selecciona los puntos suspensivos.
4

Iniciar shell remoto

Selecciona Iniciar shell remoto.
Menú de puntos suspensivos de la tarjeta del dispositivo con Iniciar shell remoto
Se abre la página Terminal de shell remoto.

​
Iniciar una sesión desde un registro del dispositivo

1

Abrir el registro del dispositivo

En la barra de navegación del lado izquierdo, selecciona Dispositivos y, a continuación, selecciona la Mac.
2

Abrir el menú de acciones del dispositivo

Abre el menú de acciones del dispositivo (puntos suspensivos) en la esquina superior derecha del registro del dispositivo.
3

Iniciar shell remoto

Selecciona Iniciar shell remoto.
Menú de acciones del dispositivo en el registro del dispositivo con Iniciar shell remoto
Se abre la página Terminal de shell remoto.

​
Terminal de shell remoto

La página Terminal de shell remoto se abre después de iniciar el shell remoto y comienza a conectarse a la Mac. En el lado izquierdo se muestra la Mac para la que abriste el shell. El terminal está a la derecha.
Página Terminal de shell remoto con los detalles de la Mac a la izquierda y el terminal a la derecha
La sesión tiene privilegios de root, por lo que un comando puede modificar cualquier archivo de la Mac. Los comandos como rm y mv eliminan o reemplazan archivos de forma permanente, y el shell no los mueve a la Papelera. Confirma lo que hace un comando en un dispositivo de prueba antes de ejecutarlo en la Mac de un usuario.
1

Esperar a la conexión

Espera mientras la página se conecta a la Mac.
2

Volver a intentarlo si la conexión falla

Si la conexión falla, selecciona Conectar en la parte superior del panel del dispositivo.
3

Mostrar el terminal en pantalla completa

Selecciona el botón de la esquina superior derecha del terminal para mostrarlo en pantalla completa. Vuelve a seleccionarlo para salir de la pantalla completa y volver a ver la Mac y el terminal uno al lado del otro.
Botón de pantalla completa en la esquina superior derecha del Terminal de shell remoto
4

Ejecutar un comando

Cuando el shell está conectado, el terminal muestra un prompt y un cursor parpadeante. Es posible que veas el aviso de macOS de que el shell interactivo predeterminado es zsh y, a continuación, un prompt de root para esa Mac.
La sesión del shell se ejecuta como root, por lo que sudo no es necesario.
5

Enviar el comando

Escribe un comando y pulsa Return para enviarlo.
Mientras una sesión está abierta, el botón de la parte superior del panel del dispositivo es Desconectar. Para cerrar la sesión, consulta Finalizar una sesión. La tarjeta de la izquierda muestra el nombre y el número de serie de la Mac, el estado de su shell, si está en línea, cuántas detecciones hay abiertas y la versión de macOS que ejecuta. Detecciones abiertas, debajo de la tarjeta, enumera cada amenaza, incluido si la detección sigue abierta, el estado de la amenaza, la gravedad, el nombre del archivo y cuándo se detectó. Si no hay nada abierto, la lista indica que no se han detectado amenazas. Cuando el estado es Conectado, la tarjeta también muestra Estado de aislamiento de red, Dirección IP, Dirección MAC y Último registro. Enumera el Usuario asignado y la dirección de Correo electrónico asociada. Cuando la Mac está aislada, Estado de aislamiento de red muestra Aislado, y el shell puede estar Conectado. Mientras el aislamiento todavía se está aplicando, Estado de aislamiento de red muestra Aislamiento pendiente. En ambos casos, el estado del dispositivo puede seguir mostrando la Mac como en línea.

​
Auditoría

Las sesiones de shell remoto se registran en Actividad en Detecciones. Algunos eventos se atribuyen al administrador que abrió el shell. Otros se atribuyen a la Mac. Actividad registra cuántos comandos se introdujeron. No registra el texto de esos comandos.
1

Abrir Actividad

Selecciona el icono Actividad (icono de pulso) en la barra de navegación superior derecha.
2

Filtrar por Detecciones

Establece Categoría en Detecciones.
3

Leer un evento

Selecciona una fila de shell remoto para expandirla.
Una sesión se registra como varios eventos:
  • Remote shell session started: se registra cuando comienza la sesión.
  • Remote shell connection: se registra cuando se acepta la conexión, una vez para la aplicación web y otra para la Mac. La fila incluye el host que se conectó.
  • Live response command request: registra la solicitud para abrir el shell, incluido el shell que se usa y el tiempo de espera de la sesión.
  • Live response command updated: registra el comando a medida que cambia su estado. Es posible que veas Pendiente, Conectado, Iniciado o Desconectado. Si el comando no se completa, el estado es Fallido y la fila incluye un motivo del error, como un tiempo de espera agotado.
  • Remote shell session ended: muestra cuánto duró la sesión, cómo se cerró, cuántos comandos se introdujeron y cuántos datos se enviaron y recibieron. Una sesión que cierras con Desconectar se registra de esa forma.

​
Finalizar una sesión

Cierra la sesión cuando termines. Puedes desconectarte desde el panel del dispositivo, cerrar la página o dejar la sesión hasta que caduque.
1

Desconectar

Selecciona Desconectar en la parte superior del panel del dispositivo.
2

Cerrar la página

Selecciona la X en la esquina superior derecha de la página Terminal de shell remoto.
3

Confirmar mientras la sesión está abierta

Mientras la sesión se está conectando o está Conectado, la página pregunta ¿Seguro que quieres salir de esta página? Si sales ahora, perderás tu progreso y el acceso a los registros de esta sesión. Selecciona Quedarme aquí para permanecer en la página o Desconectar terminal remoto para finalizar la sesión.
4

Cerrar una sesión que no está conectada

Cuando la sesión está No conectado o Error al conectar, la X cierra la página.
Si dejas la sesión inactiva, finaliza después de 5 minutos. Una conexión perdida también la finaliza.

​
Solución de problemas

Lo que ves:La página muestra Error al conectar. El terminal indica que no se pudo iniciar el shell remoto y la Mac permanece en No conectado. El estado del dispositivo en la tarjeta puede seguir mostrando la Mac como en línea.Qué hacer:Parece que la Mac está apagada o sin conexión. Selecciona Conectar en la parte superior del panel del dispositivo para volver a intentarlo, o vuelve cuando la Mac esté disponible.
Lo que ves:El shell no se conecta. La Mac está en aislamiento completo.Qué hacer:El shell remoto funciona mientras la Mac está en aislamiento parcial. No funciona mientras la Mac está en aislamiento completo. Libera la Mac del aislamiento completo antes de iniciar una sesión. Consulta Aislamiento de dispositivos.
Lo que ves:El estado es Sesión en pausa. El terminal indica que el relé mantiene la sesión hasta que la Mac se conecte.Qué hacer:Espera a que la Mac se conecte. Para dejar de esperar, selecciona Desconectar.

​
Consideraciones

​
Artículos relacionados

Acciones de operaciones de seguridad en Endpoint Detection

Actualiza el estado, asigna etiquetas y abre acciones de respuesta

Aislamiento de dispositivos

Aísla una Mac de la red mientras investigas una detección

Comprender la página Detections

Revisa las detecciones, los filtros y el panel de detalles de la amenaza

Actividad

Revisa los eventos de sesión, conexión y respuesta en vivo del shell remoto