Una plataforma, no un agente suelto

Lee la información interna del binario para saber dónde están los datos que le interesan. Si no la trae, lo ejecuta unos instantes en un entorno aislado y lo observa desde dentro del sistema hasta deducirlo. Con eso genera un mapa firmado de ese binario concreto y lo aplica en caliente, sin reiniciar. Un vigilante detecta binarios nuevos por su huella y lanza todo el proceso solo, con sitio para hasta 16 versiones o compilaciones distintas conviviendo en la misma máquina, cada una con su calibración. Lo mismo con las librerías que aparecen después —un driver de base de datos, una librería de cifrado—: las engancha en segundos.

Los agentes reportan observaciones, nunca etiquetas: comprometer un agente no puede mover el modelo. El central las junta quitando duplicados y con topes que evitan que uno solo lo sesgue, y una prueba estadística decide si una mejora es sólida: solo se despliega si no sube el falso positivo actual. El reentrenamiento pesado ocurre fuera de tus servidores de producción.

Modelos y listas de reputación se empaquetan firmados criptográficamente, viajan cifrados entre tus máquinas y cada agente verifica firma y contenido antes de instalarlos, en un cambio instantáneo y sin cortes. La reputación que aprende un servidor entra en el mismo sitio donde vive la del resto.

El panel lee un feed sellado que produce el propio agente. El trabajo del analista —marcar, anotar, cerrar— vive en una capa aparte que nunca toca la evidencia original, inmutable y encadenada, y tiene su propia auditoría. La salida va directamente en el formato de tu SIEM: ECS para Elastic y CEF para ArcSight o Splunk, sin adaptador que programar. Y para el día a día hay línea de comandos de administración, comprobaciones de salud y métricas estándar que tu sistema de monitorización ya sabe leer.

Solo acepta órdenes firmadas y con número de secuencia creciente, para que nadie pueda reenviar una orden antigua; y si deja de recibir señal del control, vuelve solo a su configuración segura. En las máquinas con chip de seguridad (TPM), además mide sus propios componentes al arrancar y deja una huella que no se puede falsear, que el central verifica de forma remota: la integridad del agente no se cree, se comprueba.

Verifica la firma y la rechaza si no es válida. Guarda copia de todo —binario, configuración y modelos—, cambia el binario de una sola vez, migra tu configuración respetando tus ajustes y reinicia. Y no da la actualización por buena hasta comprobar que el agente nuevo arrancó y está observando de verdad: si falla cualquier paso, lo deshace todo automáticamente y te deja el servidor como estaba.