Ciberseguridad y seguridad de la información

Sysmon Event ID 1: Construcción de un árbol de procesos para la investigación

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre Sysmon Event ID 1 en el ámbito de Windows e Identity

Respuesta rápida

Sysmon Event ID 1 requiere leer el evento completo y no solo el ID del evento: hora, equipo, usuario, ID de inicio de sesión, proceso, fuente de red y contexto organizacional. La conclusión se crea a partir de la correlación entre varias fuentes.

La investigación de Windows e Identity se basa en una combinación de eventos de autenticación, creación de procesos, cambios de permisos, telemetría de Sysmon y contexto organizacional. Un solo evento casi nunca proporciona una conclusión completa. El presente artículo se centra en Sysmon Event ID 1 y está destinado a analistas de SOC. El objetivo es proporcionar un método de trabajo que se pueda aplicar en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El desafío central es que los datos son casi siempre parciales. ProcessGuid, ParentProcessGuid, Image pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, las pruebas requeridas y un criterio claro para la finalización.

El escenario práctico del artículo es: la reconstrucción de una cadena simulada de Office-to-PowerShell. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de pruebas de penetración, web o nube, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.

Campos de Event ID 1

Los campos importantes no son necesariamente los que se muestran en la parte superior de la pantalla. En Sysmon Event ID 1 se deben identificar identificadores estables, tiempo, origen, destino, resultado y contexto. Ejemplos útiles son ProcessGuid, ParentProcessGuid, Image, CommandLine, Hashes, User. El objetivo es permitir la correlación entre registros y no solo la lectura de un evento individual.

Se recomienda crear un pequeño diccionario de datos: nombre del campo, significado, formato, origen, valores Null esperados y si es confiable para la vinculación. De esta manera, se puede distinguir entre un campo de visualización y un identificador de investigación, y detectar cuándo un conector o versión cambió el esquema.

ProcessGuid vs ProcessId

Para comprender la diferencia en el contexto de Sysmon Event ID 1, es importante comparar objetivos y no solo herramientas. Una opción proporciona amplitud o velocidad, y otra proporciona una verificación o un contexto profundos. La elección correcta depende de la pregunta: ¿Se requiere descubrimiento, investigación, prueba de impacto, contención o informes?

Una tabla comparativa profesional debe incluir al menos: tipo de entrada, nivel de confianza, costo operativo, impacto potencial, limitaciones y seguimiento requerido. En caso de duda, se utiliza el enfoque menos intrusivo y se agrega una fuente complementaria en lugar de sacar una conclusión demasiado amplia.

Relaciones Padre-Hijo

El tema 'relaciones Padre-Hijo' es una parte central del trabajo con Sysmon Event ID 1. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, registre ProcessGuid, ParentProcessGuid, Image, CommandLine, Hashes, compare con el comportamiento esperado y defina al menos un punto de pivote. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

CommandLine y IntegrityLevel

El tema 'CommandLine y IntegrityLevel' es una parte central del trabajo con Sysmon Event ID 1. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Construcción de un árbol y una línea de tiempo

La línea de tiempo es la columna vertebral de Sysmon Event ID 1. Se normalizan los tiempos a UTC o se especifica explícitamente la zona horaria, se mantienen tanto la hora del evento como la hora de ingestión, y se conectan los eventos por identificadores estables. La línea debe incluir la hora, el origen, la entidad, la acción, el resultado y la confiabilidad.

Una brecha o contradicción no es un error en el documento, sino un hallazgo. La deriva del reloj, el retraso en la recepción, NAT, la reutilización del PID o una sesión persistente pueden cambiar el orden. Por lo tanto, se especifican rangos de incertidumbre y se mantiene un vínculo a la evidencia bruta.

Puntos de control únicos

En este tema, se recomienda construir previamente un mapa de evidencia enfocado. Los puntos de control principales son: ProcessGuid, ParentProcessGuid, Image, CommandLine, Hashes, User. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo o explicar un comportamiento legítimo.

ProcessGuid: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
ParentProcessGuid: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
Image: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
CommandLine: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
Hashes: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
User: Defina cuál es el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.

Cuando uno de los puntos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el identificador de proceso no es estable, se puede usar la hora, el host, el usuario y el padre; si la carga útil está cifrada, se usan metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance y una pregunta de trabajo sobre Sysmon Event ID 1.
Registre las fuentes de datos y las pruebas requeridas: ProcessGuid, ParentProcessGuid, Image, CommandLine.
Cree una línea de base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde la hora, la entrada y la salida.
Cree una línea de tiempo o una tabla comparativa y separe los hechos de la interpretación.
Haga un pivote a una fuente adicional para verificar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de repetición de la prueba.

Escenario práctico

El escenario elegido es la reconstrucción de una cadena simulada de Office-to-PowerShell. El propósito del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, una ventana de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o evaluador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo corta, una suposición inicial, evidencia de verificación, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Paso	Qué se realiza	Producto
Preparación	Defina el alcance, el tiempo y el objetivo. Registre qué campos o pruebas de ProcessGuid, ParentProcessGuid, Image se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con Sysmon Event ID 1, sin información real ni impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Verifique la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia prueba, lo que no prueba y cuál es la explicación legítima posible.	Conclusión provisional
Finalización	Elija un cierre, una escalada, un hallazgo o una sintonización; agregue una recomendación y una nueva prueba.	Producto documentado

Lista de verificación práctica

Verifique y documente: ID de evento y proveedor.
Verifique y documente: Equipo, Usuario y ID de inicio de sesión.
Verifique y documente: Proceso, Padre y Línea de comandos.
Verifique y documente: IP de origen, Estación de trabajo y Tipo de inicio de sesión.
Verifique y documente: Cambios de grupo/privilegios.
Verifique y documente: ProcessGuid o SessionGuid de Sysmon.
Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
Guarde los datos brutos antes de filtrar o modificar.
Escriba lo que el hallazgo prueba y lo que aún se desconoce.
Defina el propietario y la acción de seguimiento con una fecha.

Errores comunes

Confiar en el ID de evento sin los campos.
Confundir el inicio de sesión con la fuente del ataque.
Ignorar el tipo de inicio de sesión.
Vincular procesos solo por PID.
Asumir que todo PowerShell es malicioso.
Cerrar un evento sin verificar el controlador de dominio.

Resumen y CTA

Sysmon Event ID 1: La construcción de un árbol de procesos para la investigación es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que se pueda justificar y volver a probar.

En el curso Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. El siguiente paso natural es pasar a los artículos relacionados, realizar el ejercicio de laboratorio y guardar el producto como parte de una cartera de trabajo profesional.

Preguntas frecuentes

¿Sysmon Event ID 1 por sí solo prueba un ataque o una vulnerabilidad?

No. Proporciona una señal o un hallazgo que necesita contexto, verificación y una fuente adicional. Una conclusión profesional se basa en una secuencia de evidencias y en la conformidad con el comportamiento esperado.

¿Qué se hace cuando faltan algunos datos?

Documentar lo que falta, buscar una fuente alternativa y reducir el nivel de confianza. No se deben completar campos por suposición ni presentar 'Desconocido' como válido.

¿Cuánto tiempo se deben guardar las pruebas?

El tiempo depende de la política, la regulación, el costo y el tipo de evento. Es importante definir de antemano la retención, la retención legal y la capacidad de exportar pruebas en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En pruebas autorizadas, se definen el alcance, las condiciones de detención y la copia de seguridad antes de comenzar el trabajo.