// REFERENCIA
Sysmon 3 — Conexión de red
Registro: Sysmon/Operational
Riesgo medio
Conexión de red iniciada por un proceso (Sysmon). Asocia el proceso con la IP/puerto destino, ideal para detectar C2: procesos que no deberían salir a Internet (p. ej. rundll32, mshta) estableciendo conexiones, o balizas periódicas (beaconing).
Herramientas relacionadas
Trabaja con esto en:
Relacionados
1
Sysmon 1 — Creación de proceso 7
Sysmon 7 — Imagen (DLL) cargada 8
Sysmon 8 — CreateRemoteThread 10
Sysmon 10 — Acceso a proceso 11
Sysmon 11 — Fichero creado 13
Sysmon 13 — Valor de registro establecido
Sysmon 1 — Creación de proceso 7
Sysmon 7 — Imagen (DLL) cargada 8
Sysmon 8 — CreateRemoteThread 10
Sysmon 10 — Acceso a proceso 11
Sysmon 11 — Fichero creado 13
Sysmon 13 — Valor de registro establecido
Descripciones propias basadas en la documentación pública de Microsoft. Los IDs y campos pueden variar según la versión de Windows y la política de auditoría activa.