Funciones
Qué detecta RoamSwitch, cómo detiene las amenazas y qué controla, agrupado por lo que protege.
Ransomware 4
Detecta y detiene el cifrado masivo y ofrece cómo volver al estado anterior al daño.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Detección de cifrado masivo T1486 | Vigila las escrituras y, si en poco tiempo aparecen muchos archivos con contenido cifrado, corta la comunicación para frenar el daño. | AcciónDetectar Aislar | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux |
| Detección con archivos señuelo T1486 | Coloca archivos señuelo en carpetas importantes y avisa si se modifican, eliminan o cifran. En Mac también corta la comunicación de forma automática. | AcciónDetectar Aislar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Linux Server |
| Restauración de archivos previa al daño | Permite recuperar uno a uno los archivos anteriores al daño a partir de instantáneas periódicas. | AcciónControlar Registrar | PredeterminadoActivado Respuesta manual | ProductosMac Linux |
| Diagnóstico de la actualidad de la copia de seguridad | Comprueba si la última copia de seguridad es reciente y avisa cuando es antigua. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
Robo de credenciales 5
Detecta en el momento de la lectura los intentos de robar contraseñas, claves y tokens.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Credenciales señuelo T1552.001 | Coloca credenciales señuelo en el directorio personal (AWS, claves SSH, Docker, etc.) y avisa en cuanto se leen. La notificación incluye el programa que las leyó, el comando y el proceso padre. No sobrescribe los archivos reales. | AcciónDetectar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Linux Server |
| Vigilancia de lectura de archivos de credenciales T1552.001 | Avisa cuando un programa inesperado abre claves privadas SSH, credenciales de AWS y gcloud, contraseñas guardadas del navegador o datos de inicio de sesión de agentes de IA. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux |
| Vigilancia de los datos guardados del navegador T1555.003 | Avisa cuando algo que no es el navegador abre los archivos de contraseñas y cookies guardadas de Chrome, Firefox y otros. | AcciónDetectar | PredeterminadoOpcional Solo notificar | ProductosMac |
| Detección de claves de API y claves privadas T1204.004 | Encuentra claves de API y claves privadas en texto, archivos, carpetas y el portapapeles. Los resultados se muestran enmascarados. | AcciónAuditar | PredeterminadoActivado Respuesta manual | ProductosMac Linux Linux Server |
| Diagnóstico de credenciales de agentes de IA T1552.001 | Revisa los permisos y el propietario de los archivos donde Claude Code, Codex y otros guardan el inicio de sesión, y si están en carpetas sincronizadas o bajo git. No lee su contenido. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac |
Ejecución sospechosa y malware 10
Detecta la secuencia de programas y comandos que lanza un atacante y analiza los archivos descargados.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Registro de ejecución de procesos y detección de técnicas de ataque T1059.004 T1027 T1105 T1553.001 | Registra programas, argumentos y relaciones padre-hijo con protección contra manipulación. Avisa de cadenas como lanzar un shell desde el navegador, descargar y ejecutar, ejecución ofuscada o ejecutar justo después de quitar el atributo de cuarentena. Oculta la información secreta. | AcciónDetectar Registrar | PredeterminadoOpcional Solo notificar | ProductosMac Linux Linux Server |
| Importación de reglas Sigma | Al colocar tus propias reglas Sigma (creación de procesos), se aplican al registro de ejecución y se suman a la detección. Las reglas que no se pueden cargar aparecen en una lista con el motivo. | AcciónDetectar | PredeterminadoOpcional Solo notificar | ProductosMac Linux Linux Server |
| Detección de shell inverso T1059.004 | Detecta y avisa cuando la entrada y la salida de un shell o intérprete están conectadas a una conexión externa. También detecta la forma del comando. | AcciónDetectar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Linux Server |
| Análisis de malware tras la descarga T1204.002 T1027 | Analiza automáticamente los archivos descargados y pone en cuarentena los que encuentra. Los archivos en cuarentena se pueden restaurar o eliminar definitivamente. | AcciónDetectar Bloquear | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Coincidencia de patrones en el contenido de archivos | Compara el contenido de los archivos descargados con patrones conocidos. En Linux también lo hace en el momento en que se escribe el archivo. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
| Integración con la detección de malware de Apple | Corta la comunicación en el instante en que XProtect detecta malware. | AcciónAislar | PredeterminadoActivado con Pro Respuesta automática | ProductosMac |
| Detección de ClickFix T1204.004 | Detecta, en el historial del shell y el portapapeles, los ataques que hacen que el propio usuario pegue un comando mediante un falso cuadro de verificación. | AcciónDetectar Bloquear | PredeterminadoOpcional Respuesta automática | ProductosMac Linux |
| Bloqueo previo de ejecuciones peligrosas | Evalúa la amenaza en el momento de la ejecución y rechaza ejecutar las amenazas reales. | AcciónBloquear | PredeterminadoActivado Respuesta automática | ProductosLinux |
| Detección de intrusiones en el kernel y aislamiento autónomo T1562.006 | Detecta shells inversos, escalada de privilegios y ejecución de binarios no autorizados a partir de eventos del kernel. Congela o finaliza procesos y aísla el host en pocos milisegundos. | AcciónDetectar Aislar | PredeterminadoActivado Respuesta automática | ProductosLinux Server |
| Detección de cierres anómalos de workers del servidor web | Detecta en error.log y avisa cuando los workers de nginx y Apache terminan de forma anómala varias veces en poco tiempo. | AcciónDetectar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Server |
Persistencia y manipulación 7
Detecta las técnicas para mantenerse tras un reinicio y la modificación de archivos críticos.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Vigilancia del registro de inicio automático T1543.001 T1543.002 T1053.003 T1546.004 | Avisa de nuevos registros o modificaciones de inicio automático y de líneas sospechosas en archivos de arranque del shell. Detecta shells inversos y la forma de descargar y ejecutar directamente. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosMac Linux |
| Vigilancia de integridad de archivos críticos del sistema T1098.004 T1548.003 | Registra el hash de archivos que solo root puede modificar (sudoers, PAM, configuración de sshd, authorized_keys de root, etc.) y avisa de cambios, altas y bajas. En Server añade el proceso que hizo el cambio y los datos de su inicio de sesión. | AcciónDetectar Registrar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Server |
| Vigilancia de manipulación de archivos de bloqueo T1195.001 | Registra package-lock.json y similares de los proyectos registrados y sigue avisando de los cambios hasta que una persona los confirma. | AcciónDetectar | PredeterminadoActivado con Pro Solo notificar | ProductosMac |
| Vigilancia de cambios SUID y SGID T1548.001 | Avisa de altas y cambios en archivos setuid y setgid. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux Server |
| Vigilancia del borrado de registros T1070.002 | Avisa cuando se vacían o truncan los registros de autenticación y otros. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux Server |
| Endurecimiento del kernel T1055 | Reduce los puntos de apoyo para la escalada de privilegios y la ejecución mediante restricciones de ptrace, noexec en /tmp y /dev/shm y limitación de espacios de nombres de usuario sin privilegios. | AcciónBloquear | PredeterminadoActivado | ProductosLinux Linux Server |
| Revisión de módulos del kernel usados para escalar privilegios | Comprueba si se pueden cargar módulos que sirvieron para la escalada local de privilegios, como Copy Fail o Dirty Frag. Los módulos sin uso se pueden prohibir. | AcciónAuditar Controlar | PredeterminadoEjecución manual Respuesta manual | ProductosLinux Linux Server |
Defensa de red 18
Adapta la protección a la red a la que te conectas y detiene conexiones y exposiciones sospechosas.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Cambio del nivel de protección según la red | Distingue automáticamente el Wi-Fi del hogar, del trabajo o público y cambia el cortafuegos y los servicios compartidos. También se puede forzar a mano. | AcciónControlar Bloquear | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Detención y restauración automática de servicios compartidos | En redes no confiables detiene SSH, compartir pantalla, compartir archivos, etc., y los restablece al volver a una red segura. | AcciónControlar Bloquear | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Auditoría de puertos expuestos | Encuentra los puertos abiertos al exterior y evalúa los servicios peligrosos y los servidores de inferencia de IA locales. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
| Bloqueo automático de puertos desconocidos expuestos T1562.004 | Bloquea en el instante en que un programa nunca visto abre un puerto al exterior. Funciona contra puertas traseras nuevas aunque no tengan firma. | AcciónDetectar Bloquear | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux |
| Bloqueo de la exposición externa de servidores de desarrollo | Aísla de la LAN externa los servidores de desarrollo y de IA local que escuchan en todas las interfaces. Siguen disponibles desde localhost. | AcciónBloquear | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux |
| Detección y bloqueo de escaneos de puertos externos T1046 | Detecta los orígenes que se conectan a muchos puertos en poco tiempo y los bloquea durante un tiempo. No bloquea la puerta de enlace, el DNS ni la propia dirección. | AcciónDetectar Bloquear | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux Linux Server |
| Detección y bloqueo automático de suplantación ARP T1557.002 | Detecta cambios sospechosos en la dirección MAC de la puerta de enlace y corta la comunicación de emergencia. En Wi-Fi no confiable fija el ARP de la puerta de enlace. | AcciónDetectar Aislar | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux |
| Diagnóstico de seguridad del Wi-Fi | Avisa de conexiones a Wi-Fi sin cifrado o con cifrado débil. Un nombre nuevo muy parecido al de una red vista antes se advierte como punto de acceso falso. | AcciónDetectar Auditar | PredeterminadoActivado Solo notificar | ProductosMac Linux |
| Vigilancia de cambios en la configuración de red T1557.003 | Compara con la vez anterior los servidores DNS, el router y la configuración automática del proxy (PAC y WPAD) que reparte la red, y avisa si aparece un valor nunca visto. Es una pista de un servidor DHCP falso. | AcciónDetectar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux |
| Protección frente a amenazas DNS | Bloquea en la fase DNS la resolución de nombres de servidores C2 y sitios de phishing. Se restablece al volver a una red de confianza. | AcciónBloquear | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Protección de enlaces T1566.002 T1071.004 | Detecta por el destino de la conexión las conexiones a sitios de phishing y fraude, y las bloquea o avisa. También funciona con navegadores que usan DoH. | AcciónDetectar Bloquear | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Diagnóstico de seguridad de URL | Expande URL acortadas, sigue redirecciones y evalúa caracteres que imitan a otros, dominios de marcas falsas y dominios peligrosos, todo dentro del equipo. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| VPN y kill switch en redes no confiables | Conecta la VPN automáticamente en redes no confiables y bloquea las fugas fuera del túnel. Se puede elegir WireGuard o Tailscale. | AcciónControlar Bloquear | PredeterminadoOpcional Respuesta automática | ProductosMac Linux |
| Air-Gap (corte total de emergencia) | Corta al instante todas las comunicaciones externas y muestra al frente el procedimiento para revertirlo. También lo usa el aislamiento automático por detección. | AcciónAislar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| Apagado del Wi-Fi durante Air-Gap | Al aislar con Air-Gap, apaga también la señal Wi-Fi. | AcciónAislar | PredeterminadoActivado Respuesta automática | ProductosMac |
| Denegación de entrada por defecto y protección frente al bloqueo de SSH | Deniega la entrada por defecto y no corta el SSH de administración que está conectado en ese momento. | AcciónBloquear | PredeterminadoActivado Respuesta automática | ProductosLinux Server |
| Bloqueo de comunicaciones salientes a IP maliciosas | Bloquea las comunicaciones salientes a IP maliciosas y de C2 conocidas. También hay un ajuste para dirigir el DNS a un proveedor con filtrado. | AcciónBloquear | PredeterminadoActivado Respuesta automática | ProductosLinux Server |
| Detección de túneles DNS T1071.004 | Detecta y avisa de indicios de exfiltración o C2 mediante DNS. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux Server |
Web y correo 4
Detecta código malicioso colocado en sitios web y ataques contra el servidor web.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Detección de web shells y código malicioso T1505.003 | Encuentra web shells y código inyectado ofuscado en los archivos escritos en carpetas públicas. Pone en cuarentena por defecto los casos graves. Las carpetas públicas se encuentran automáticamente a partir de la configuración de Apache, nginx y Caddy y de los montajes de Docker. | AcciónDetectar Bloquear | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux Server |
| Detección de enumeración de identificadores (Web Access Guard) | Encuentra en los registros de acceso las consultas que van cambiando por orden números de solicitud o de pedido. También cubre ataques repartidos entre muchas IP. Con la configuración adecuada puede bloquear los orígenes detectados. | AcciónDetectar Bloquear | PredeterminadoOpcional Solo notificar | ProductosLinux Server |
| Web Gate | Se integra con nginx y protege solo los puntos que reciben números, con un presupuesto de consultas por punto. Frena los ataques que cambian de IP constantemente. | AcciónBloquear | PredeterminadoOpcional Respuesta automática | ProductosLinux Server |
| File Scan Guard | Analiza con YARA y ClamAV los archivos colocados en retransmisores de correo o carpetas compartidas y los pone en cuarentena. | AcciónDetectar Bloquear | PredeterminadoOpcional Respuesta automática | ProductosLinux Server |
SSH y acceso remoto 2
Detecta y detiene la fuerza bruta en los inicios de sesión y diagnostica puntos débiles de la configuración.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Detección y bloqueo de fuerza bruta SSH T1110.001 | Detecta y avisa de los orígenes que fallan el inicio de sesión muchas veces en poco tiempo y bloquea las nuevas conexiones al puerto SSH. No corta las sesiones en curso ni bloquea la puerta de enlace ni la propia dirección. | AcciónDetectar Bloquear | PredeterminadoActivado con Pro Respuesta automática | ProductosMac Linux Linux Server |
| Diagnóstico de la configuración de SSH y sudo T1548.003 | Diagnostica la configuración de inicio de sesión remoto por SSH y sudo sin contraseña, e indica cómo corregirlo. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
Contenedores y servidores 6
Detecta arranques peligrosos de contenedores e indicios propios de servidores.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Detección de arranques peligrosos de contenedores T1610 | Avisa del arranque de contenedores privilegiados o con docker.sock montado. También vigila la ejecución dentro de los contenedores. | AcciónDetectar | PredeterminadoOpcional Solo notificar | ProductosMac Linux Server |
| Prevención de la elusión del cortafuegos por Docker | Evita que Docker eluda las reglas de denegación por defecto y abra puertos que no se pretendía publicar. | AcciónBloquear | PredeterminadoActivado Respuesta automática | ProductosLinux Server |
| Detección de agotamiento de recursos y caídas | Detecta y avisa del crecimiento continuo de memoria (fugas o DoS) de servicios expuestos a la red y de caídas repetidas. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux Server |
| Vigilancia de conexiones a los metadatos de la nube T1552.005 | Avisa cuando un programa o contenedor que no es root se conecta a una API de metadatos como 169.254.169.254. Vigila el último paso de un SSRF. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosLinux Server |
| Protección de cuentas dedicadas a agentes de IA | Cuando el agente se ejecuta con una cuenta dedicada, limita las comunicaciones salientes a una lista de permitidos, coloca credenciales señuelo y contrasta la modificación de los archivos de instrucciones con una línea base propiedad de root. | AcciónControlar Detectar | PredeterminadoOpcional Solo notificar | ProductosLinux Server |
| Procesos que la contención no detiene | Se pueden añadir procesos que la contención automática no detiene, además de la lista integrada. Solo valen los ejecutables ubicados en rutas del sistema. | AcciónControlar | Predeterminado— | ProductosLinux Server |
Cadena de suministro 7
Detecta antes y después de incorporarlas las intrusiones a través de bibliotecas y entornos de desarrollo.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Cotejo de vulnerabilidades conocidas de paquetes | Compara los paquetes instalados y los archivos de bloqueo de los proyectos con los datos de vulnerabilidades del propio equipo. No se comunica. Las CVE con probabilidad de explotación (EPSS) se ordenan de mayor a menor. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux Linux Server |
| Aceptación de vulnerabilidades | Las CVE que no afectan se pueden aceptar con un motivo y una fecha límite. Al vencer, vuelven a la detección normal. | AcciónControlar Registrar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| Revisión del código que se ejecuta al instalar T1195.001 | Lista los scripts que se ejecutan al instalar. Avisa si, desde el estado confirmado, se añaden o cambian scripts o se añade código compilado. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| Inspección del origen de las dependencias | Señala configuraciones que facilitan ataques de confusión de dependencias, como extra-index-url de pip o ámbitos de npm sin registro fijado. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac |
| Detección de paquetes con nombre parecido | Evalúa con la distancia de edición si el nombre de una dependencia se parece demasiado al de un paquete conocido. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| Verificación de firmas de paquetes npm | Verifica en el registro de npm la firma y la procedencia de los paquetes instalados. | AcciónAuditar | PredeterminadoOpcional Respuesta manual | ProductosMac Linux Server |
| Cotejo de vulnerabilidades del kernel | Contrasta la versión del kernel en ejecución con las vulnerabilidades conocidas y lo muestra en el diagnóstico. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosLinux Linux Server |
Agentes de IA y MCP 6
Protege la configuración de los agentes de IA y la seguridad de la información que se entrega a la IA.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Auditoría de la configuración de agentes de IA | Revisa archivos de instrucciones, skills y archivos de configuración. Señala caracteres invisibles, sobrescritura de instrucciones, descripciones de descargar y ejecutar y envío externo de archivos secretos. Avisa si cambian respecto al estado aprobado y el resultado también se puede obtener en SARIF. | AcciónAuditar Detectar | PredeterminadoEjecución manual Solo notificar | ProductosMac Linux Linux Server |
| Revisión de la configuración MCP | Señala prácticas peligrosas en las configuraciones MCP de Claude Desktop, Claude Code, Cursor y otros, como la aprobación automática, http en texto plano, el arranque con una sola línea y los contenedores privilegiados. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux |
| Aviso de instrucciones mezcladas para la IA | Si en cadenas que vienen de fuera, como scripts de paquetes, registros, nombres de Wi-Fi o líneas de comandos, hay instrucciones dirigidas a la IA, lo advierte al final del resultado. Solo indica el tipo y el número de coincidencias. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
| Servidor MCP para consultar el estado desde asistentes de IA | Permite que Claude y otros lean el estado de los diagnósticos y de las detecciones. No hay herramientas que cambien la configuración. Tampoco se comunica. | AcciónInformar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Autoevaluación del alcance de detección | Para cada técnica de ATT&CK, enumera si se detecta, qué queda fuera de la vista y si la función responsable está activa. También se puede obtener como capa de ATT&CK Navigator. | AcciónInformar Auditar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Identificación de entornos de ejecución de IA locales | Determina, con un grado de certeza, si un puerto expuesto es un entorno de ejecución de IA local como Ollama, vLLM o LiteLLM. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac Linux |
Periféricos 3
Detiene en el momento de la conexión las intrusiones mediante USB y Bluetooth.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Control del almacenamiento USB T1091 | El almacenamiento USB no permitido se conecta en solo lectura o se retiene la conexión hasta confirmarla. Incluso el permitido se monta en solo lectura justo al conectarse y recupera los permisos tras el análisis. | AcciónBloquear Controlar | PredeterminadoOpcional Respuesta manual | ProductosMac Linux |
| Prevención de BadUSB T1200 | Detiene hasta su aprobación la entrada de teclados no aprobados o de cables USB modificados. Las anomalías en el intervalo entre pulsaciones sirven como pista adicional. | AcciónBloquear | PredeterminadoOpcional Respuesta manual | ProductosMac Linux |
| Control y revisión de Bluetooth | En redes no confiables hace que el Bluetooth no sea detectable. También revisa los ajustes que admiten dispositivos antes del emparejamiento. | AcciónControlar Auditar | PredeterminadoOpcional Respuesta automática | ProductosMac Linux |
Diagnóstico y vulnerabilidades 5
Encuentra puntos débiles de configuración y vulnerabilidades realmente alcanzables.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Diagnóstico general de seguridad | Diagnostica numerosos elementos, como el cifrado del disco, el cortafuegos, las actualizaciones del sistema, SSH, los puertos expuestos y la protección del navegador, y muestra una puntuación y cómo corregirlos. Permite volver a comprobar si los elementos diagnosticados siguen presentes. | AcciónAuditar Informar | PredeterminadoActivado Solo notificar | ProductosMac Linux Linux Server |
| Diagnóstico de vulnerabilidades con comprobación real | Solo en 127.0.0.1 de este equipo, comprueba sin causar daño exposición sin autenticación, errores de configuración de CORS, path traversal y similares. En cada comprobación indica qué rastro deja y la solidez de la evidencia. | AcciónAuditar | PredeterminadoOpcional Respuesta manual | ProductosMac Linux |
| Diagnóstico de respuestas LLMNR y NBNS T1557.001 | Comprueba si este equipo participa en una resolución de nombres a la que puede responder cualquiera de la misma red. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosLinux Linux Server |
| Análisis de rutas de escalada de privilegios | Muestra en un gráfico y en una lista las rutas que llegan a root o a datos sensibles a partir del grupo docker, SUID, ejecutables de servicios modificables, sudo sin contraseña, cron y los permisos de privacidad de macOS. También permite analizar de forma hipotética cómo quedarían las rutas tras corregirlas. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosPathScope |
| Auditoría de vulnerabilidades desde fuera de la LAN | Desde un nodo dedicado en la LAN, comprueba sin causar daño los puertos expuestos y los servicios vulnerables de los equipos emparejados. Muestra cómo se ven desde otro equipo de la misma LAN, algo que no aparece en el diagnóstico del propio host. | AcciónAuditar | PredeterminadoEjecución manual Respuesta manual | ProductosSensor |
Análisis de registros e investigación 22
Encuentra intentos de ataque con evidencias a partir de los registros y de la información de la LAN.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Auditoría de registros de seguridad | Agrega a partir de los registros fallos de sudo, SSH, bloqueos de Gatekeeper, autenticación, etc. Detecta como anomalías los tipos de registro que aparecen por primera vez y los aumentos bruscos de frecuencia. Oculta la información secreta. | AcciónDetectar Auditar | PredeterminadoActivado con Pro Solo notificar | ProductosMac Linux Linux Server |
| Diagnóstico de registros de acceso (AccessScope) | Encuentra intentos de ataque en los registros del servidor web y de SSH, con las líneas que los respaldan. Busca los registros automáticamente y muestra las cadenas que abarcan varios registros y las diferencias con lo habitual. El informe indica los intervalos que no se pudieron leer. | AcciónDetectar Informar | PredeterminadoEjecución manual | ProductosAccessScope |
| Comprobación del estado con un botón (PersonalSOC) | Revisa, solo en modo lectura, la autenticación SSH, auditd, web, DNS, el registro unificado de macOS, la configuración MCP y el historial de detecciones de RoamSwitch. Lo resume en un panel y en un informe con IOC. | AcciónInformar Auditar | PredeterminadoEjecución manual | ProductosPersonalSOC |
| Investigación autónoma con LLM (PersonalSOC, opcional) | Si se activa, el LLM investiga solo con las herramientas de lectura permitidas y redacta el informe. No se le entregan shell ni archivos. Los valores escritos por el LLM que no están en el material recopilado se señalan como posible invención. | AcciónInformar | PredeterminadoOpcional | ProductosPersonalSOC |
| Ejecución periódica (PersonalSOC, opcional) | Registra una ejecución periódica con permisos de usuario y solo notifica el número de elementos cuando hay detecciones que no estaban la vez anterior. | AcciónInformar | PredeterminadoOpcional Solo notificar | ProductosPersonalSOC |
| Puntos de corrección y propuestas (PathScope) | Muestra con prioridad los puntos cuya corrección es más eficaz y añade ejemplos de comandos de corrección y la correspondencia con ATT&CK. No ejecuta los comandos automáticamente. | AcciónInformar | PredeterminadoEjecución manual | ProductosPathScope |
| Cotejo de vulnerabilidades conocidas del software instalado (PathScope) | Compara las versiones del software instalado con los datos de vulnerabilidades conocidas incluidos (CISA KEV, etc.). Indica cuáles tienen un módulo de ataque público. | AcciónAuditar | PredeterminadoEjecución manual | ProductosPathScope |
| Comparación con el historial y análisis continuo (PathScope) | Guarda los resultados del análisis como historial en el equipo y los compara con la vez anterior. Si aumentan las rutas, avisa con el código de salida 1, por lo que sirve también para ejecuciones periódicas. | AcciónRegistrar Informar | PredeterminadoEjecución manual | ProductosPathScope |
| Explicación y lectura de configuraciones con LLM (PathScope, opcional) | Se puede encargar al LLM la explicación de los resultados y la interpretación de configuraciones difíciles de leer, como sudoers y cron. No se envían claves privadas ni claves de API. Los valores de la explicación que no estén en el material se señalan como posible invención. | AcciónInformar | PredeterminadoOpcional | ProductosPathScope |
| Reducción de los elementos a revisar (AccessScope) | Permite excluir con un motivo las IP propias y similares, y compara con el diagnóstico anterior para avisar solo de las nuevas detecciones. | AcciónControlar | PredeterminadoEjecución manual | ProductosAccessScope |
| Exportación de resultados (AccessScope) | El informe se puede exportar en Markdown, JSON, SARIF y CSV. También se puede exportar una lista de bloqueo de las IP detectadas. Solo se exporta: no se bloquea nada. | AcciónInformar | PredeterminadoEjecución manual | ProductosAccessScope |
| Análisis con LLM (AccessScope, opcional) | Si se activa, se entrega al LLM el resumen y las líneas de evidencia para que redacte el informe. Los secretos van enmascarados. Los valores escritos por el LLM que no estén en el material entregado se señalan como posible invención. | AcciónInformar | PredeterminadoOpcional | ProductosAccessScope |
| Detección de tráfico sospechoso en la LAN (Sensor, captura pasiva) | Con captura pasiva, por ejemplo en un puerto espejo, muestra como información de referencia las conexiones a IP maliciosas conocidas o a puertos de administración, los indicios de botnet y los túneles DNS. No bloquea el tráfico. | AcciónDetectar | PredeterminadoOpcional Solo notificar | ProductosSensor |
| Auditoría periódica y diferencias con la anterior (Sensor) | Audita periódicamente los equipos emparejados y muestra las nuevas detecciones, las resueltas y los puertos recién abiertos. | AcciónAuditar Informar | PredeterminadoOpcional Solo notificar | ProductosSensor |
| Informes de auditoría y notificaciones (Sensor) | Los resultados de auditoría, el inventario de dispositivos y el registro de operaciones se pueden exportar en CSV, JSON y HTML. Se pueden notificar por Webhook y syslog los dispositivos nuevos, la suplantación ARP y similares. El registro de operaciones tiene protección contra manipulación. | AcciónInformar Registrar | PredeterminadoOpcional Solo notificar | ProductosSensor |
| Inventario de dispositivos de la LAN y vigilancia ARP | Localiza los dispositivos de la LAN y los registra en un inventario. Avisa de dispositivos nuevos y de cambios de MAC para una IP conocida (suplantación ARP). | AcciónDetectar Registrar | PredeterminadoActivado Solo notificar | ProductosSensor |
| Detección de servidores DHCP y routers IPv6 no autorizados | Envía un solo paquete de descubrimiento desde una MAC aleatoria y cuenta los servidores DHCP y routers IPv6 que responden. Avisa de servidores que aparecen después y de servidores que reparten una puerta de enlace distinta de la legítima. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosSensor |
| Aprendizaje del comportamiento habitual de cada dispositivo | Aprende las costumbres de comunicación de cada dispositivo y avisa de comportamientos distintos de lo habitual. | AcciónDetectar | PredeterminadoActivado Solo notificar | ProductosSensor |
| Auditoría ligera de dispositivos no instalados | Comprueba impresoras, cámaras y otros dispositivos sin emparejar, solo dentro del rango permitido y únicamente con una prueba de conexión y la lectura del banner de servicio. | AcciónAuditar | PredeterminadoOpcional Respuesta manual | ProductosSensor |
| Cronología de incidentes | Reúne en una sola línea de tiempo los registros de contención y de detección. Incluye el linaje de procesos y las etiquetas de ATT&CK. | AcciónInformar Registrar | PredeterminadoActivado | ProductosMac Linux |
| Lista de dispositivos USB conectados | Muestra los dispositivos USB externos conectados en este momento. | AcciónAuditar | PredeterminadoActivado | ProductosMac |
| Protección al arrancar (experimental) | Desde una fase temprana del arranque y hasta que todo está listo, bloquea toda comunicación excepto ARP y el cliente DHCP. | AcciónBloquear | PredeterminadoOpcional Respuesta automática | ProductosLinux Linux Server |
Evidencias, notificaciones y operación 14
Conserva las evidencias de las detecciones, avisa a quien corresponde y se integra en la operación.
| Función | Qué hace | Acción | Predeterminado | Productos |
|---|---|---|---|---|
| Autovigilancia y reinicio automático T1562.001 | Si el propio RoamSwitch termina de forma anómala, se reinicia y lo avisa. | AcciónControlar Detectar | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Actualización automática de datos de amenazas firmados | Recibe feeds de amenazas, datos de vulnerabilidades y reglas verificando la firma. No envía información del equipo. | AcciónControlar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Desinstalación reversible | Antes de eliminar, restablece la configuración de red y retira los archivos señuelo y los ajustes añadidos. | AcciónControlar | PredeterminadoEjecución manual Respuesta manual | ProductosMac Linux Linux Server |
| Gestión centralizada por la organización (Fleet) | Registra los equipos en la organización y recibe y aplica políticas firmadas. En el equipo se puede comprobar el estado del registro y de las políticas. | AcciónControlar Informar | PredeterminadoOpcional | ProductosLinux Linux Server |
| Ronda autónoma periódica | Ejecuta periódicamente en segundo plano el diagnóstico general. | AcciónAuditar | PredeterminadoActivado Solo notificar | ProductosMac |
| Recopilación automática de evidencias al contener | Cuando empieza la contención, reúne automáticamente las evidencias de ese momento. La integridad se puede comprobar con el SHA-256 de cada archivo. | AcciónRegistrar | PredeterminadoActivado Respuesta automática | ProductosMac Linux |
| Historial de notificaciones | Permite consultar las notificaciones recientes con el programa de origen, el comando y la ruta. Si no se puede identificar el origen, lo indica. | AcciónRegistrar Informar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Notificaciones urgentes (Telegram, LINE, Webhook) | Envía las detecciones graves a Telegram, LINE y Webhook. Slack, Discord y Teams se pueden usar mediante la URL de un Webhook entrante. | AcciónInformar | PredeterminadoOpcional Solo notificar | ProductosLinux Server |
| Reenvío de eventos (SIEM, syslog, Webhook) | Reenvía detecciones y notificaciones a syslog, a archivos JSON Lines o a un Webhook firmado que indiques. Lo que no se pudo enviar se reenvía. | AcciónInformar | PredeterminadoOpcional | ProductosMac Linux Server |
| Registro con protección contra manipulación | Encadena con hashes el registro de ejecución para poder verificarlo después. El tramo en escritura también recibe puntos de control a intervalos regulares. | AcciónRegistrar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Todas las funciones desde el terminal | Todas las funciones de Server Edition se manejan solo con el teclado en una pantalla de 80x24 por SSH. La configuración muestra las diferencias antes de guardar y hace una copia de seguridad. | AcciónControlar | PredeterminadoActivado | ProductosLinux Server |
| Recibir auditorías desde Sensor | Empareja Server Edition con Sensor para recibir auditorías desde fuera de la LAN. | AcciónControlar Auditar | PredeterminadoOpcional Respuesta manual | ProductosLinux Server |
| Emparejamiento y revocación | Con un código de un solo uso, el equipo y Sensor confían mutuamente. En caso de pérdida o robo, se revoca desde el colector y ese Sensor se detiene por sí mismo. | AcciónControlar | Predeterminado— Respuesta manual | ProductosSensor |
| Agregación de varias sedes (colector) | Reúne con firma los resúmenes de varios Sensor. Permite ver el estado por sede en un panel y exportarlo a CSV. | AcciónInformar | PredeterminadoOpcional | ProductosSensor |
Ninguna función coincide
Qué se detiene solo y qué solo avisa
Qué funciones actúan por sí solas tras una detección y cuáles solo notifican.
Bloqueo o aislamiento automático 27
| Función | Acción | Predeterminado | Productos |
|---|---|---|---|
| Detección de cifrado masivo | AcciónDetectar Aislar | PredeterminadoActivado con Pro | ProductosMac Linux |
| Análisis de malware tras la descarga | AcciónDetectar Bloquear | PredeterminadoActivado | ProductosMac Linux |
| Integración con la detección de malware de Apple | AcciónAislar | PredeterminadoActivado con Pro | ProductosMac |
| Detección de ClickFix | AcciónDetectar Bloquear | PredeterminadoOpcional | ProductosMac Linux |
| Bloqueo previo de ejecuciones peligrosas | AcciónBloquear | PredeterminadoActivado | ProductosLinux |
| Detección de intrusiones en el kernel y aislamiento autónomo | AcciónDetectar Aislar | PredeterminadoActivado | ProductosLinux Server |
| Cambio del nivel de protección según la red | AcciónControlar Bloquear | PredeterminadoActivado | ProductosMac Linux |
| Detención y restauración automática de servicios compartidos | AcciónControlar Bloquear | PredeterminadoActivado | ProductosMac Linux |
| Bloqueo automático de puertos desconocidos expuestos | AcciónDetectar Bloquear | PredeterminadoActivado con Pro | ProductosMac Linux |
| Bloqueo de la exposición externa de servidores de desarrollo | AcciónBloquear | PredeterminadoActivado con Pro | ProductosMac Linux |
| Detección y bloqueo de escaneos de puertos externos | AcciónDetectar Bloquear | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Detección y bloqueo automático de suplantación ARP | AcciónDetectar Aislar | PredeterminadoActivado con Pro | ProductosMac Linux |
| Protección frente a amenazas DNS | AcciónBloquear | PredeterminadoActivado | ProductosMac Linux |
| Protección de enlaces | AcciónDetectar Bloquear | PredeterminadoActivado | ProductosMac Linux |
| VPN y kill switch en redes no confiables | AcciónControlar Bloquear | PredeterminadoOpcional | ProductosMac Linux |
| Apagado del Wi-Fi durante Air-Gap | AcciónAislar | PredeterminadoActivado | ProductosMac |
| Denegación de entrada por defecto y protección frente al bloqueo de SSH | AcciónBloquear | PredeterminadoActivado | ProductosLinux Server |
| Bloqueo de comunicaciones salientes a IP maliciosas | AcciónBloquear | PredeterminadoActivado | ProductosLinux Server |
| Detección de web shells y código malicioso | AcciónDetectar Bloquear | PredeterminadoActivado con Pro | ProductosMac Linux Server |
| Web Gate | AcciónBloquear | PredeterminadoOpcional | ProductosLinux Server |
| File Scan Guard | AcciónDetectar Bloquear | PredeterminadoOpcional | ProductosLinux Server |
| Detección y bloqueo de fuerza bruta SSH | AcciónDetectar Bloquear | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Prevención de la elusión del cortafuegos por Docker | AcciónBloquear | PredeterminadoActivado | ProductosLinux Server |
| Control y revisión de Bluetooth | AcciónControlar Auditar | PredeterminadoOpcional | ProductosMac Linux |
| Protección al arrancar (experimental) | AcciónBloquear | PredeterminadoOpcional | ProductosLinux Linux Server |
| Autovigilancia y reinicio automático | AcciónControlar Detectar | PredeterminadoActivado | ProductosMac Linux |
| Recopilación automática de evidencias al contener | AcciónRegistrar | PredeterminadoActivado | ProductosMac Linux |
Solo notificar 42
| Función | Acción | Predeterminado | Productos |
|---|---|---|---|
| Detección con archivos señuelo | AcciónDetectar Aislar | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Diagnóstico de la actualidad de la copia de seguridad | AcciónAuditar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Credenciales señuelo | AcciónDetectar | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Vigilancia de lectura de archivos de credenciales | AcciónDetectar | PredeterminadoActivado | ProductosLinux |
| Vigilancia de los datos guardados del navegador | AcciónDetectar | PredeterminadoOpcional | ProductosMac |
| Diagnóstico de credenciales de agentes de IA | AcciónAuditar | PredeterminadoActivado | ProductosMac |
| Registro de ejecución de procesos y detección de técnicas de ataque | AcciónDetectar Registrar | PredeterminadoOpcional | ProductosMac Linux Linux Server |
| Importación de reglas Sigma | AcciónDetectar | PredeterminadoOpcional | ProductosMac Linux Linux Server |
| Detección de shell inverso | AcciónDetectar | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Coincidencia de patrones en el contenido de archivos | AcciónDetectar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Detección de cierres anómalos de workers del servidor web | AcciónDetectar | PredeterminadoActivado con Pro | ProductosMac Linux Server |
| Vigilancia del registro de inicio automático | AcciónDetectar | PredeterminadoActivado | ProductosMac Linux |
| Vigilancia de integridad de archivos críticos del sistema | AcciónDetectar Registrar | PredeterminadoActivado con Pro | ProductosMac Linux Server |
| Vigilancia de manipulación de archivos de bloqueo | AcciónDetectar | PredeterminadoActivado con Pro | ProductosMac |
| Vigilancia de cambios SUID y SGID | AcciónDetectar | PredeterminadoActivado | ProductosLinux Server |
| Vigilancia del borrado de registros | AcciónDetectar | PredeterminadoActivado | ProductosLinux Server |
| Auditoría de puertos expuestos | AcciónAuditar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Diagnóstico de seguridad del Wi-Fi | AcciónDetectar Auditar | PredeterminadoActivado | ProductosMac Linux |
| Vigilancia de cambios en la configuración de red | AcciónDetectar | PredeterminadoActivado con Pro | ProductosMac Linux |
| Detección de túneles DNS | AcciónDetectar | PredeterminadoActivado | ProductosLinux Server |
| Detección de enumeración de identificadores (Web Access Guard) | AcciónDetectar Bloquear | PredeterminadoOpcional | ProductosLinux Server |
| Diagnóstico de la configuración de SSH y sudo | AcciónAuditar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Detección de arranques peligrosos de contenedores | AcciónDetectar | PredeterminadoOpcional | ProductosMac Linux Server |
| Detección de agotamiento de recursos y caídas | AcciónDetectar | PredeterminadoActivado | ProductosLinux Server |
| Vigilancia de conexiones a los metadatos de la nube | AcciónDetectar | PredeterminadoActivado | ProductosLinux Server |
| Protección de cuentas dedicadas a agentes de IA | AcciónControlar Detectar | PredeterminadoOpcional | ProductosLinux Server |
| Cotejo de vulnerabilidades del kernel | AcciónAuditar | PredeterminadoActivado | ProductosLinux Linux Server |
| Auditoría de la configuración de agentes de IA | AcciónAuditar Detectar | PredeterminadoEjecución manual | ProductosMac Linux Linux Server |
| Aviso de instrucciones mezcladas para la IA | AcciónDetectar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Identificación de entornos de ejecución de IA locales | AcciónAuditar | PredeterminadoActivado | ProductosMac Linux |
| Diagnóstico general de seguridad | AcciónAuditar Informar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Diagnóstico de respuestas LLMNR y NBNS | AcciónAuditar | PredeterminadoActivado | ProductosLinux Linux Server |
| Auditoría de registros de seguridad | AcciónDetectar Auditar | PredeterminadoActivado con Pro | ProductosMac Linux Linux Server |
| Ejecución periódica (PersonalSOC, opcional) | AcciónInformar | PredeterminadoOpcional | ProductosPersonalSOC |
| Detección de tráfico sospechoso en la LAN (Sensor, captura pasiva) | AcciónDetectar | PredeterminadoOpcional | ProductosSensor |
| Auditoría periódica y diferencias con la anterior (Sensor) | AcciónAuditar Informar | PredeterminadoOpcional | ProductosSensor |
| Informes de auditoría y notificaciones (Sensor) | AcciónInformar Registrar | PredeterminadoOpcional | ProductosSensor |
| Inventario de dispositivos de la LAN y vigilancia ARP | AcciónDetectar Registrar | PredeterminadoActivado | ProductosSensor |
| Detección de servidores DHCP y routers IPv6 no autorizados | AcciónDetectar | PredeterminadoActivado | ProductosSensor |
| Aprendizaje del comportamiento habitual de cada dispositivo | AcciónDetectar | PredeterminadoActivado | ProductosSensor |
| Ronda autónoma periódica | AcciónAuditar | PredeterminadoActivado | ProductosMac |
| Notificaciones urgentes (Telegram, LINE, Webhook) | AcciónInformar | PredeterminadoOpcional | ProductosLinux Server |
Respuesta manual 21
| Función | Acción | Predeterminado | Productos |
|---|---|---|---|
| Restauración de archivos previa al daño | AcciónControlar Registrar | PredeterminadoActivado | ProductosMac Linux |
| Detección de claves de API y claves privadas | AcciónAuditar | PredeterminadoActivado | ProductosMac Linux Linux Server |
| Revisión de módulos del kernel usados para escalar privilegios | AcciónAuditar Controlar | PredeterminadoEjecución manual | ProductosLinux Linux Server |
| Diagnóstico de seguridad de URL | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac Linux |
| Air-Gap (corte total de emergencia) | AcciónAislar | PredeterminadoEjecución manual | ProductosMac Linux |
| Cotejo de vulnerabilidades conocidas de paquetes | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac Linux Linux Server |
| Aceptación de vulnerabilidades | AcciónControlar Registrar | PredeterminadoEjecución manual | ProductosMac Linux |
| Revisión del código que se ejecuta al instalar | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac Linux |
| Inspección del origen de las dependencias | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac |
| Detección de paquetes con nombre parecido | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac Linux |
| Verificación de firmas de paquetes npm | AcciónAuditar | PredeterminadoOpcional | ProductosMac Linux Server |
| Revisión de la configuración MCP | AcciónAuditar | PredeterminadoEjecución manual | ProductosMac Linux |
| Control del almacenamiento USB | AcciónBloquear Controlar | PredeterminadoOpcional | ProductosMac Linux |
| Prevención de BadUSB | AcciónBloquear | PredeterminadoOpcional | ProductosMac Linux |
| Diagnóstico de vulnerabilidades con comprobación real | AcciónAuditar | PredeterminadoOpcional | ProductosMac Linux |
| Análisis de rutas de escalada de privilegios | AcciónAuditar | PredeterminadoEjecución manual | ProductosPathScope |
| Auditoría de vulnerabilidades desde fuera de la LAN | AcciónAuditar | PredeterminadoEjecución manual | ProductosSensor |
| Auditoría ligera de dispositivos no instalados | AcciónAuditar | PredeterminadoOpcional | ProductosSensor |
| Desinstalación reversible | AcciónControlar | PredeterminadoEjecución manual | ProductosMac Linux Linux Server |
| Recibir auditorías desde Sensor | AcciónControlar Auditar | PredeterminadoOpcional | ProductosLinux Server |
| Emparejamiento y revocación | AcciónControlar | Predeterminado— | ProductosSensor |
Qué cubre y qué no 52
Para cada técnica de ataque (MITRE ATT&CK): detectada, parcialmente detectada o no cubierta.
| Técnica | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | LinuxParcial | Linux ServerParcial |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | MacParcial | Linux— | Linux Server— |
| T1036 Masquerading | MacNo cubierta | LinuxNo cubierta | Linux ServerNo cubierta |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | LinuxParcial | Linux ServerNo cubierta |
| T1046 Network Service Discovery | MacParcial | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | LinuxParcial | Linux ServerParcial |
| T1055 Process Injection | MacNo cubierta | LinuxParcial | Linux ServerParcial |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | LinuxParcial | Linux ServerParcial |
| T1059.002 Command and Scripting Interpreter: AppleScript | MacParcial | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | MacParcial | LinuxParcial | Linux ServerParcial |
| T1068 Exploitation for Privilege Escalation | Mac— | LinuxParcial | Linux ServerParcial |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | MacNo cubierta | LinuxNo cubierta | Linux ServerParcial |
| T1070.003 Indicator Removal: Clear Command History | MacNo cubierta | LinuxNo cubierta | Linux ServerNo cubierta |
| T1070.004 Indicator Removal: File Deletion | Mac— | LinuxParcial | Linux ServerParcial |
| T1071.004 Application Layer Protocol: DNS | Mac— | LinuxParcial | Linux ServerParcial |
| T1091 Replication Through Removable Media | MacParcial | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | MacParcial | LinuxParcial | Linux ServerParcial |
| T1105 Ingress Tool Transfer | Mac— | LinuxParcial | Linux ServerParcial |
| T1110.001 Brute Force: Password Guessing | MacDetectada | LinuxParcial | Linux ServerParcial |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | MacParcial | Linux— | Linux Server— |
| T1200 Hardware Additions | MacParcial | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | MacParcial | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | MacParcial | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | MacParcial | LinuxParcial | Linux ServerParcial |
| T1490 Inhibit System Recovery | MacParcial | LinuxParcial | Linux ServerParcial |
| T1505.003 Server Software Component: Web Shell | MacParcial | LinuxParcial | Linux ServerParcial |
| T1543.001 Create or Modify System Process: Launch Agent | MacDetectada | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | LinuxParcial | Linux ServerParcial |
| T1543.004 Create or Modify System Process: Launch Daemon | MacDetectada | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | MacParcial | LinuxParcial | Linux ServerParcial |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | LinuxParcial | Linux ServerNo cubierta |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | LinuxParcial | Linux ServerNo cubierta |
| T1547.015 Boot or Logon Autostart Execution: Login Items | MacNo cubierta | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | LinuxNo cubierta | Linux ServerParcial |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | MacParcial | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | MacParcial | LinuxParcial | Linux ServerParcial |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | LinuxNo cubierta | Linux ServerParcial |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | MacParcial | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | MacParcial | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | MacParcial | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | MacNo cubierta | LinuxParcial | Linux ServerNo cubierta |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | MacParcial | LinuxParcial | Linux ServerNo cubierta |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | MacParcial | LinuxParcial | Linux ServerNo cubierta |
| T1562.001 Impair Defenses: Disable or Modify Tools | MacParcial | LinuxParcial | Linux ServerParcial |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | MacNo cubierta | LinuxParcial | Linux ServerNo cubierta |
| T1562.006 Impair Defenses: Indicator Blocking | MacNo cubierta | LinuxNo cubierta | Linux ServerParcial |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | LinuxNo cubierta | Linux ServerNo cubierta |
| T1566.002 Phishing: Spearphishing Link | MacParcial | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | MacNo cubierta | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | MacParcial | LinuxParcial | Linux ServerParcial |
| T1610 Deploy Container | MacParcial | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | LinuxParcial | Linux ServerParcial |
«No cubierta» significa que no hay ningún mecanismo que detecte esa técnica.