Un analista de seguridad está investigando una estación de trabajo de la que se sospecha que tiene comunicación saliente con un servidor de comando y control. Durante la investigación, el analista descubrió que los registros en el endpoint fueron eliminados. ¿Cuál de los siguientes registros examinaría el analista a continuación?

La respuesta correcta es Firewall. Los firewalls registran el tráfico de red que pasa a través de ellos, incluyendo las conexiones salientes. Aunque los registros locales del endpoint hayan sido eliminados, los registros del firewall pueden proporcionar evidencia de comunicación con un servidor de comando y control externo. IPS (Sistema de Prevención de Intrusiones) es incorrecto porque, si bien registra eventos de seguridad, su enfoque principal es la detección y prevención de intrusiones, no el registro exhaustivo de todas las conexiones de red. ACL (Lista de Control de Acceso) es incorrecto porque define permisos de acceso, pero no genera registros de conexiones de red de la misma manera que un firewall. Windows security (Registros de seguridad de Windows) es incorrecto porque, aunque registra eventos de seguridad en el endpoint, el enunciado indica que estos registros fueron eliminados.