De las colecciones de triaje a una línea de tiempo del atacante defendible.
Sootmark ingiere colecciones de KAPE y Velociraptor, imágenes de disco y exportaciones de EDR de todos los equipos del caso, construye una única línea de tiempo y ayuda a tu equipo a convertirla en hallazgos defendibles. Cada hallazgo está a un clic de sus bytes en bruto. Funciona en tu estación de trabajo o en tu propio servidor. Nada sale de tu entorno.
Windows · macOS · Linux · Funciona sin red · Pensado para consultores de IR
| Hora (UTC) | Artefacto | Equipo | Evento |
|---|---|---|---|
| 03:11:58 | EVTX 4624 | WS-042 | Logon type 10 · svc_backup from 10.0.4.17 |
| 03:12:07 | Prefetch | WS-042 | RCLONE.EXE executed · run count 3 |
| 03:12:07 | AmCache | WS-042 | rclone.exe first seen · SHA1 4f2e…a91c |
| 03:12:09 | EVTX 4688 | WS-042 | rclone.exe copy \\FS01\finance remote: |
| 03:14:51 | EVTX 4624 | FS01 | Logon type 3 from WS-042 · svc_backup |
| 03:15:02 | USN | FS01 | 1,284 files renamed → *.locked |
AltoEjecución de rclone.exe indicada
Indicada por Prefetch (3 ejecuciones, la última a las 03:12:07) y Security 4688 (03:12:09). rclone.conf define un remoto de tipo mega.
El problema
Un caso real son cuarenta equipos, tres analistas y un plazo.
Hoy eso significa un colector, una docena de parsers específicos, un visor de CSV, un cazador de EVTX, una hoja de cálculo compartida para la línea de tiempo del atacante y un archivo de notas que nadie más puede leer. O una suite pesada cobrada por puesto.
- Horas de procesamiento antes de la primera respuesta real
- Hallazgos repartidos entre CSV, capturas y notas
- Corroboración entre artefactos hecha a mano
- La línea de tiempo para el abogado rehecha en una hoja de cálculo cada noche
Cómo funciona
De la colección al entregable
- 01
Apunta a las evidencias
Colecciones de KAPE o Velociraptor, imágenes E01 y VHDX, exportaciones de EDR y cortafuegos, o salidas de las herramientas que ya usas. Nada se copia. Todo se hashea.
- 02
Déjalo trabajar de noche
Cada equipo se analiza en paralelo, en una o varias máquinas. La ingesta se reanuda tras un fallo o un reinicio. Las alertas críticas aparecen en minutos.
- 03
Investiga en equipo
Una línea de tiempo para todos los equipos. Pivota, agrupa, sigue sesiones de inicio de sesión, clasifica alertas. Asigna equipos a analistas y ve lo que nadie ha revisado aún.
- 04
Entrega
Una línea de tiempo del atacante cuidada, tablas insertadas en tu propia plantilla de Word, un resumen para el abogado, una exportación de evidencias. Cada fila trazable hasta su origen.
Funciones
Todo lo que ocurre entre la colección y el informe
Un solo banco de trabajo sustituye el ensamblaje de parsers, visores de CSV, cazadores y hojas de cálculo. Encaja entre el colector que ya usas y el informe que ya redactas.
Una línea de tiempo, todos los equipos
Cada evento de cada artefacto y equipo en una cuadrícula rápida: filtros, agrupación, columnas fijas, reglas de color, histograma de densidad y contexto ±N alrededor de cualquier fila.
Sesiones
IDs de inicio de sesión, sesiones RDP y tokens en la nube agrupados en sesiones de actividad, para seguir al atacante en lugar de leer filas.
Alertas que se pueden clasificar
Reglas Sigma y cazas durante la ingesta. Cada alerta muestra por qué coincidió. Clasifícalas en lote y ajusta el ruido por caso o por firma.
Hallazgos positivos y negativos
Hallazgos puntuales, intervalos de actividad y «sin evidencia de X en los datos disponibles», cada uno con sus evidencias y su cobertura.
La línea de tiempo del atacante
Una lista cuidada y versionada de lo que ocurrió, con la redacción aprobada de cada fila. El entregable que el abogado pide cada noche.
IOC y barridos
Reúne indicadores sobre la marcha y exporta barridos para Velociraptor, Defender, CrowdStrike o YARA para revisar el resto del parque.
Pensado para casos reales
Cuarenta equipos. Tres analistas. Colecciones que siguen llegando.
La mayoría de herramientas se diseñan para una imagen en un portátil. Sootmark se diseña para el caso que realmente recibes.
Muchos equipos, muchas colecciones
Colecciones antes y después de la contención, recolecciones y exportaciones de EDR por equipo, con identidades de equipo unificadas entre nombres, IP e IDs de sensor.
Ingesta desatendida y reanudable
Pon en cola todo el caso por la noche. El trabajo continúa tras un fallo o un reinicio de Windows Update, y nunca se pierde trabajo terminado.
Tu equipo, tu servidor
Ejecuta el motor en una estación de trabajo, un servidor de laboratorio o dentro de la nube del cliente. Los analistas se conectan desde un navegador o la aplicación de escritorio.
Escala con máquinas libres
Añade workers para analizar donde están las evidencias. Solo viajan los resultados. Los workers son gratis: pagas por analista, no por CPU.
Confianza
Hecho para hallazgos que puedas defender
Una herramienta forense solo vale lo que puedas explicar a un cliente, una aseguradora, un abogado o un tribunal.
Local por diseño
Sin subidas y sin telemetría. Funciona sin red. Cualquier servicio de consulta futuro será opcional, por caso, y quedará registrado.
Bytes en bruto junto a cada interpretación
Cada registro muestra su archivo de origen, su offset, su hash y el parser y la versión que lo leyeron.
La herramienta describe. Tú concluyes.
La herramienta dice «Prefetch muestra 3 ejecuciones», nunca «ejecución confirmada». Las salvedades de cada artefacto vienen integradas: ShimCache muestra presencia, no ejecución.
Nada se oculta en silencio
Cada exclusión, regla silenciada y deduplicación tiene nombre, recuento, se puede revertir y se exporta como anexo.
Reproducible
Los casos registran las versiones del motor, los parsers, las reglas y la base de zonas horarias, para que un colega pueda volver a procesar las mismas evidencias y obtener el mismo resultado.
Parsers de código abierto
Los parsers serán de código abierto: lee el código, revisa las pruebas, reproduce cualquier registro de forma independiente. Ninguna IA opaca decide nada.
Flujo de trabajo
Encaja en tu cadena actual
Mantén tu colector, tu EDR y tu plantilla de informe. Sootmark sustituye el procesamiento y el análisis entre ambos.
Recibe
- KAPE (folder, zip, VHDX)
- Velociraptor
- E01 / VHDX / raw
- Defender XDR
- Firewall & VPN logs
- Microsoft 365
- Google Workspace
- ESXi logs
- EZ Tools / Hayabusa / Plaso
Entrega a
- Your DOCX template
- XLSX / CSV
- Briefing slides
- Evidence package
- Timesketch
- Velociraptor / KQL / YARA sweeps
- STIX / MISP
Plantillas de caso
- Ransomware
- ESXi ransomware
- VPN / edge device
- BEC · Microsoft 365
- BEC · Google Workspace
- Web server
- Malware
Precios
Precios simples, sin llamada comercial
Compra con tarjeta en mitad de un incidente. Planes mensuales para autónomos.
Gratis
0 €
Parsers de un solo artefacto en el navegador.
- Un tipo de artefacto a la vez
- En tu navegador, sin subidas
- Ideal para comprobaciones rápidas
Pro
99 €/mes
Para el analista individual. O 990 €/año.
- Equipos y colecciones ilimitados
- Línea de tiempo, sesiones, alertas y hallazgos
- Línea de tiempo del atacante y tablas de informe
- Aplicación de escritorio para Windows, macOS, Linux
Equipo
1.490 €/puesto/año
Para firmas de IR y MSSP.
- Todo lo de Pro
- Servidor autoalojado para todo el equipo
- Workers de procesamiento ilimitados
- Modo revisión y paquetes de caza compartidos
Sin conexión
A medida
Para laboratorios aislados y acreditados.
- Licencia y actualizaciones sin conexión firmadas
- Versiones fijadas y paquetes de validación
- Licencia perpetua + mantenimiento
Precios previstos, mostrados para el acceso anticipado. Pueden cambiar antes del lanzamiento. Licencias gratuitas previstas para estudiantes, universidades y fuerzas del orden.
FAQ
Preguntas de los analistas
¿Mis evidencias salen de mi entorno?
No. El análisis, la línea de tiempo, las cazas y los informes se ejecutan en tus propias máquinas: una estación de trabajo, tu servidor de laboratorio o una VM dentro de la nube del cliente. Sin subidas ni telemetría.
¿Puede un equipo trabajar en el mismo caso?
Sí. Ejecuta el servidor de Sootmark en una estación o servidor que controles. Los analistas se conectan desde un navegador o la aplicación de escritorio, los equipos se asignan, y todos ven la misma línea de tiempo, los mismos hallazgos y la misma línea de tiempo del atacante.
¿Qué tamaño de caso puede manejar?
Está diseñado para casos de unos 40 equipos y varios cientos de millones de eventos en una sola estación de trabajo, con una ingesta desatendida por la noche que se reanuda tras un fallo. Añade máquinas libres como workers para ir más rápido.
¿Qué puedo cargar?
Salidas de KAPE (carpeta, zip o VHDX), colecciones sin conexión de Velociraptor, imágenes E01 y en bruto, exportaciones de EDR, registros de cortafuegos y VPN, registros de Microsoft 365 y Google Workspace, y salidas de EZ Tools, Hayabusa y Plaso.
¿Redacta el informe por mí?
No, a propósito. Rellena tu propia plantilla de Word con las tablas que llevan horas a mano (línea de tiempo del atacante, IOC, equipos, hashes de evidencias, exclusiones) y exporta resúmenes y paquetes de evidencias. El relato y las conclusiones siguen siendo tuyos.
¿Usa IA?
No para concluir nada. Si añadimos asistencia con IA, se ejecutará en local, estará claramente señalada, apuntará a los registros en los que se basa y nunca redactará hallazgos ni texto de informe por su cuenta.
¿Sustituye a AXIOM o X-Ways?
Para casos de intrusión y BEC, busca sustituir el procesamiento y el análisis montados con herramientas gratuitas. Para exámenes a fondo de una sola imagen, muchos analistas mantendrán su suite actual, y Sootmark exporta hacia ella.
¿Cuándo podré usarlo?
Sootmark está en desarrollo activo. Únete a la lista de espera para obtener acceso anticipado y ayudar a dar forma a la primera versión.
Deja de rehacer la línea de tiempo en una hoja de cálculo.
Únete a la lista de espera para obtener acceso anticipado. Solo te escribiremos sobre Sootmark.
Unirse a la lista de espera