> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Comprender los eventos de amenazas
> Comprende los eventos de amenazas en Iru EDR, incluidos los tipos de detección, los niveles de gravedad y las categorías de clasificación. Investiga y responde a las alertas de seguridad.
Esta guía se aplica a computadoras Mac y computadoras Windows
### Acerca de los eventos de amenazas
Endpoint Detection and Response (EDR) crea un evento de amenaza cuando identifica malware o programas potencialmente no deseados (PUPs) en un dispositivo. Cada evento de amenaza incluye detalles como el nombre de la amenaza, la clasificación, el proceso implicado, la fecha de detección y el estado actual. Puedes encontrar todos los eventos de amenazas en la página Detections para los dispositivos vinculados a Blueprints con EDR. Además, estos eventos pueden verse en los registros de los dispositivos individuales.
Los eventos de amenazas se crean tanto en la postura Detect como en la postura Protect. En la postura Protect, la amenaza también se pone en cuarentena.
Los eventos de amenazas se crean en la postura Detect y se informan sin cuarentena automática.
### Cómo funciona
Los eventos de amenazas se crean automáticamente cuando Iru Endpoint EDR identifica posibles riesgos de seguridad en los dispositivos gestionados. El sistema organiza los eventos de amenazas en una vista de tabla centrada en las amenazas, que agrupa los eventos por hash de archivo en el caso de las detecciones de archivos y por regla de detección en el caso de las detecciones de comportamiento. Esta estructura simplifica la evaluación del impacto de una amenaza en toda tu flota de Mac. Cada evento agrupado incluye un panel lateral que proporciona información detallada sobre la amenaza, lo que permite a los equipos de seguridad comprender rápidamente el alcance y la gravedad de las amenazas detectadas.
### Comprender la información de los eventos
Cada evento de amenaza de la vista de tabla centrada en las amenazas proporciona información esencial para ayudar a los equipos de seguridad de la información a investigar las amenazas.
* **Threat ID**: muestra el valor hash SHA-256 de la amenaza detectada
* **Process**: muestra el proceso detectado más recientemente responsable de la amenaza
* **Classification**: indica la categoría de clasificación del evento de amenaza
* **Detection Date**: registra la fecha en que EDR identificó la amenaza
* **Dispositivos**: indica el número total de dispositivos Mac afectados por el evento de amenaza
* **Threat Status**: recuentos de Detected, Remediated y Released en todos los dispositivos para el evento de amenaza agrupado
### Comprender los niveles de gravedad de las detecciones
Iru Endpoint EDR incluye una puntuación de gravedad para ayudar a los equipos de seguridad de la información a evaluar rápidamente la criticidad de las amenazas detectadas. A cada evento de detección se le asigna uno de cinco niveles de gravedad: Critical, High, Medium, Low e Informational.
La tabla de detecciones incluye una columna **Severity** que muestra el nivel de gravedad correspondiente a cada detección. Puedes ordenar y filtrar las detecciones por gravedad tanto para las detecciones de archivos como para las de comportamiento.
La página Detections también incluye un gráfico circular **Detections By Severity** que proporciona un desglose visual de las detecciones organizadas por su nivel de gravedad.
### Comprender las clasificaciones de las amenazas
Iru Endpoint EDR clasifica las amenazas en cuatro categorías para las detecciones de archivos (malware, programa potencialmente no deseado (PUP), benigno y desconocido) y en dos categorías para las detecciones de comportamiento: malicioso y sospechoso.
#### Clasificaciones de las detecciones de archivos
* **Malware**: este término hace referencia al software malicioso diseñado para dañar dispositivos, personas u organizaciones
* **Programa potencialmente no deseado (PUP)**: son aplicaciones que podrían no ser deseadas en un dispositivo. Los PUPs suelen consumir muchos recursos del sistema, lo que afecta al rendimiento, muestran anuncios no deseados y recopilan información personal. A diferencia del malware, los PUPs no tienen la intención de causar daños y suelen instalarse de forma involuntaria junto con otro software, a menudo en paquetes combinados
* **Benign**: esta clasificación se aplica a los archivos que inicialmente se marcaron como maliciosos, pero que posteriormente se determinó que no lo eran tras un análisis adicional. Si encuentras eventos de amenazas benignos, puede deberse a que el elemento estaba en la lista de bloqueados de tu Library Item EDR en el momento de la detección o de la cuarentena
* **Unknown**: esta categoría se aplica a los archivos que Iru Endpoint EDR no puede clasificar de forma definitiva como maliciosos o benignos con los datos disponibles. La clasificación puede cambiar si se dispone de más información o si se vuelve a analizar el archivo.
#### Clasificaciones de las detecciones de comportamiento
* **Malicious**: clasificación que hace referencia a una actividad de comportamiento que pretende causar daños
* **Suspicious**: clasificación que hace referencia a una actividad de comportamiento que no indica un daño inmediato, pero que merece atención para investigarla más a fondo
### Comprender los estados de las amenazas
Todos los eventos de amenazas tendrán un estado asociado. Los distintos estados que puede tener un evento de amenaza son:
#### Estados de las detecciones de archivos
* **Quarantined**: una amenaza detectada que se puso automáticamente en cuarentena en la postura Protect (macOS)
* **Not Quarantined**: una amenaza detectada que no se puso en cuarentena en la postura Detect
* **Released**: una amenaza que inicialmente se puso en cuarentena, pero que posteriormente se liberó y se restauró a su ubicación original (macOS)
* **Resolved**: una amenaza detectada que ya no se encuentra en la última ruta de archivo detectada y que el agente no puso en cuarentena
#### Estados de las detecciones de comportamiento
* **Detected**: se identificó una actividad de comportamiento malicioso, pero no se bloqueó (postura Detect)
* **Blocked**: se identificó y bloqueó una actividad de comportamiento malicioso (postura Protect)
* **Informational**: se detectó una actividad de comportamiento sospechosa y se marcó para dar visibilidad
En macOS, la cuarentena de Malware y PUP la determina el modo de postura configurado en el Library Item EDR. Consulta [Configurar el Library Item EDR](/es/endpoint/endpoint-detection-response-edr/configure-the-edr-library-item) para obtener más información sobre cómo configurar los modos de postura en tu entorno.
### Ver las detecciones
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
Usa el filtro **Tipo de detección** para mostrar **File detections**, **Behavioral detections** o ambas en la misma tabla.
### Filtrar los eventos de amenazas
Puedes filtrar los eventos de amenazas de las detecciones de archivos y de comportamiento en función de su estado para facilitar la visualización y la corrección.
En la parte superior de la página Detections, selecciona el intervalo de fechas junto a **Viewing** (de forma predeterminada, **Last 30 days**) para limitar los eventos de amenazas a un periodo, como **Last 7 days** o **Custom date range**.
Filtra por **Classification** para mostrar solo determinados tipos de amenazas. Para las detecciones de archivos, elige malware, PUP, benign o unknown; para las detecciones de comportamiento, elige malicious o suspicious.
Elige **Threat status** para filtrar por estado de corrección (Quarantined, Not quarantined, Released o Resolved para las detecciones de archivos; Detected, Blocked o Informational para las de comportamiento). Puedes seleccionar uno o varios.
Filtra por **Estado** para centrarte en el estado del flujo de trabajo: **New** (últimas 24 horas), **Abrir**, **Cerrado** o **Archived**, de modo que puedas clasificar lo que requiere atención frente a lo que ya se ha gestionado.
Filtra por **Severity** (Critical, High, Medium, Low o Informational) para priorizar qué amenazas investigar o corregir primero.
Filtra por **Tags** para mostrar solo las amenazas que tienen una etiqueta específica definida por el administrador, o déjalo en All para incluir todas las etiquetas.
Usa el filtro **MITRE** para acotar la lista por técnica de MITRE ATT\&CK. Busca o selecciona técnicas específicas para mostrar solo los eventos de comportamiento que coinciden con las técnicas seleccionadas.
Selecciona **Clear all** para quitar todos los filtros y volver a la vista predeterminada del intervalo de fechas seleccionado.
### Panel lateral
La vista de tabla centrada en las amenazas incluye un panel lateral para cada evento agrupado, que se puede abrir seleccionando una fila de evento de amenaza para acceder a información detallada sobre esa amenaza específica.
Para las detecciones de archivos, el panel lateral incluye:
* El nombre de archivo más reciente asociado a la amenaza
* Una vista global de todos los estados de la amenaza (Detected, Remediated y Released) para el evento de amenaza agrupado en todos los dispositivos
* Las fechas de la primera y la última detección en todos los dispositivos
* Información sobre todas las rutas de archivo únicas encontradas relacionadas con la amenaza
Para las detecciones de comportamiento, el panel lateral incluye:
* El nombre del proceso más reciente asociado al evento agrupado
* Una vista global de todos los estados de la amenaza (Detected, Remediated y Released) en todos los dispositivos
* Una descripción de la actividad maliciosa o sospechosa
* La familia de malware asociada a la actividad de comportamiento
* Etiquetas informativas que proporcionan contexto adicional
* Las fechas de la primera y la última detección en todos los dispositivos
#### Tarjetas de dispositivos
Las tarjetas de dispositivos del panel lateral representan los dispositivos en los que se encontró el archivo malicioso. Desde el panel lateral, también puedes realizar acciones de respuesta como [aislar dispositivos](/es/endpoint/endpoint-detection-response-edr/device-isolation) para ponerlos en cuarentena con respecto a la red durante incidentes de seguridad activos.
Para las detecciones de archivos, estas tarjetas mostrarán información como:
* **Nombre del dispositivo**
* **Número de serie**
* **Blueprint y Library Item**
* **Modo de postura ante malware y PUP**
* **Eventos procesables**
* **Detalles del evento de amenaza:**
* **Threat Status** - El estado actual de la amenaza en el dispositivo.
* **Ruta** - La ruta del archivo en la que se detectó la amenaza.
* **Usuario** - El usuario asociado al proceso cuando se detectó la amenaza.
* **Detection Date** - La fecha en que EDR identificó la amenaza.
* **Quarantine Date** - La fecha en que EDR puso la amenaza en cuarentena.
* **Resolved Date** - La fecha en que la amenaza se marcó como resuelta en la aplicación web.
* **Release Date** - La fecha en que la amenaza se liberó de la cuarentena en el dispositivo.
* **Application Bundle Path** - La ruta al paquete de la aplicación.
Para las detecciones de comportamiento, estas tarjetas mostrarán información como:
* **Nombre del dispositivo**
* **Número de serie**
* **Blueprint y Library Item**
* **Información del modo de postura de la detección de comportamiento malicioso**
* **Detalles del evento de amenaza:**
* **Threat Status** - El estado actual de la amenaza en el dispositivo.
* **Detection date** - La fecha en que EDR identificó la amenaza.
* **Rule version** - Versión actual de la regla
* **Información de los procesos principal y de destino:**
* Nombre de los procesos principal y de destino
* ID de los procesos principal y de destino
* Propietario del proceso
* Rutas de imagen de los procesos principal y de destino
* Argumentos de la línea de comandos de los procesos principal y de destino
* Hash SHA-256 de los procesos principal y de destino
### Ver los eventos de amenazas en el panel lateral
#### Para las detecciones de archivos
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
En el filtro **Tipo de detección**, selecciona **File detections** para centrarte en los eventos de amenazas basados en archivos.
Selecciona cualquier **evento de amenaza** para abrir el panel lateral.
En la pestaña **Dispositivos**, consulta las tarjetas de todos los dispositivos en los que se detectó el hash malicioso. Selecciona cualquier tarjeta de dispositivo para expandirla y ver los eventos de amenazas asociados. Desde esta vista, también puedes [aislar dispositivos](/es/endpoint/endpoint-detection-response-edr/device-isolation) de la red con el icono de globo.
#### Para las detecciones de comportamiento
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
En el filtro **Tipo de detección**, selecciona **Behavioral detections** para centrarte en los eventos de amenazas de comportamiento.
Selecciona cualquier **evento de amenaza** para abrir el panel lateral.
### Volver a comprobar el estado de una amenaza
Cuando los modos de postura de Malware o PUP están establecidos en Detect, puedes comprobar manualmente el estado de una amenaza en el panel lateral para ver si sigue presente en la ruta del archivo. Si la amenaza ya no está, su estado se actualizará de 'Not quarantined' a 'Resolved'. Si la amenaza sigue presente, su estado no cambiará.
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
Selecciona cualquier **evento de amenaza** para abrir el panel lateral.
Selecciona la **tarjeta del dispositivo** que desees para expandirla y ver los eventos de amenazas del dispositivo. Desde esta vista expandida, también puedes acceder a acciones de respuesta, como el [aislamiento de dispositivos](/es/endpoint/endpoint-detection-response-edr/device-isolation).
Selecciona **Recheck status**.
En macOS, cuando las amenazas se detectan inicialmente y se eliminan de un dispositivo, su estado cambiará de **Not quarantined** a **Resolved** una vez que los modos de postura de Malware o PUP del Library Item EDR se establezcan en el modo Protect. Esta actualización también se produce cuando se aplica al dispositivo un nuevo Blueprint con esta configuración.
### Liberar un evento de amenaza
Puede haber situaciones en las que los equipos de seguridad de la información necesiten liberar un evento de amenaza para archivos o aplicaciones específicos que se pusieron en cuarentena por error, como una herramienta de seguridad o una aplicación que usa la organización. Liberar un evento de amenaza implica añadir el elemento a la lista de permitidos del Library Item EDR asociado.
La acción de liberación del evento de amenaza solo se aplicará a los Blueprints asignados al Library Item EDR. Liberar una amenaza la liberará de todas las computadoras Mac en las que se haya detectado.
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
Selecciona cualquier **evento de amenaza** para abrir el panel lateral.
Selecciona la **tarjeta del dispositivo** que desees para expandirla y ver los eventos de amenazas del dispositivo.
Selecciona **Release threat**.
Introduce un **Item Name**.
Opcionalmente, introduce una nota interna que indique por qué se libera el evento de amenaza.
Escribe **RELEASE** para liberar la amenaza.
Selecciona **Add and Release** para añadir la amenaza a tu lista de permitidos y liberarla.
### Realizar una búsqueda en VirusTotal
VirusTotal analiza archivos y URLs. Desde un evento de amenaza, puedes buscar el hash en VirusTotal sin salir de la aplicación web de Iru Endpoint.
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
Selecciona el evento de amenaza que desees para abrir el panel lateral.
Selecciona **Search VirusTotal** en la parte superior del panel lateral.
Iru Endpoint EDR puede clasificar determinados hashes como malware o PUP aunque VirusTotal no tenga detecciones para ellos o los considere no maliciosos; esto es normal, ya que Iru Endpoint EDR utiliza varias fuentes de amenazas.
### Exportar los eventos de amenazas en CSV
Además de usar la API de Iru Endpoint, los equipos de seguridad de la información y de IT pueden exportar la lista de eventos de amenazas directamente desde la consola de administración. El icono de exportación de la vista centrada en las amenazas aplica la configuración de filtros actual y genera un archivo CSV con información detallada sobre cada evento de amenaza en columnas independientes. Esta función está disponible tanto en la vista principal del módulo Detections como en la pestaña Detections del registro del dispositivo.
En la barra de navegación del lado izquierdo, selecciona **Detecciones** (en **Endpoint**).
Opcionalmente, usa el filtro **Tipo de detección** para seleccionar **File detections** o **Behavioral detections** antes de exportar.
Selecciona el icono **Exportar** en el extremo derecho de la vista de lista de eventos de amenazas. Se descargará automáticamente un archivo de exportación CSV.
### Consideraciones
* **Clasificación de las amenazas**: comprende la diferencia entre las clasificaciones de las detecciones de archivos (malware, PUP, benign, unknown) y las de las detecciones de comportamiento (malicious, suspicious) para evaluar correctamente las amenazas
* **Gestión de estados**: revisa y actualiza periódicamente los estados de las amenazas para mantener una postura de seguridad precisa y garantizar un seguimiento adecuado de la corrección
* **Priorización por gravedad**: usa los niveles de gravedad (Critical, High, Medium, Low, Informational) para priorizar los esfuerzos de respuesta a las amenazas y asignar los recursos de forma eficaz
* **Configuración de la postura**: en macOS, asegúrate de que los Library Items EDR estén configurados con los modos de postura adecuados (Detect o Protect) en función de tus requisitos de seguridad. EDR para Windows usa el modo Detect para las detecciones de archivos.
* **Investigación de amenazas**: usa el panel lateral y las tarjetas de dispositivos para consultar las rutas de archivo, el contexto del usuario y las cronologías de detección
* **Gestión de falsos positivos**: prepárate para liberar aplicaciones legítimas que puedan ponerse en cuarentena por error, mediante el proceso de liberación de amenazas con la documentación adecuada
* **Validación externa**: usa la integración con VirusTotal para contrastar la inteligencia de amenazas y validar las clasificaciones de las amenazas
* **Exportación de datos**: usa la exportación a CSV para el análisis de amenazas, la generación de informes y la integración con otras herramientas de seguridad
* **Operaciones masivas**: considera usar acciones masivas para gestionar de forma eficiente las amenazas generalizadas en varios dispositivos, incluidas las capacidades de [aislamiento masivo de dispositivos](/es/endpoint/endpoint-detection-response-edr/device-isolation)
* **Supervisión periódica**: establece procesos de revisión periódica de los eventos de amenazas para garantizar una respuesta oportuna y una clasificación adecuada de los incidentes de seguridad