Indicadores de host: procesos inusuales, binarios disfrazados, software no autorizado, persistencia (servicios, tareas programadas, run keys)

Los indicadores de host son señales de compromiso en un endpoint o servidor individual. Los indicadores de red te dicen que algo se está comunicando; los indicadores de host te dicen qué se está ejecutando, cómo llegó ahí y cómo sobrevive a un reinicio. Tus fuentes principales son las herramientas de detección y respuesta en endpoints (EDR), System Monitor (Sysmon) y los logs del sistema operativo, además de los comandos integrados cuando revisas una sola máquina.