Hoy en día no hay un proceso de Threat hunting completo sin la revisión de la actividad de los procesos de los equipos, para ello Sysmon de SysInternals es una solución gratuita que permite a los Threat Hunters trazar acciones como: escritura de ficheros, conexiones de red o carga de librerías entre otras. Esta herramienta presenta las acciones de forma atómica y aislada, es decir, sin una relación de los sucesos basada en la jerarquía de los procesos, por lo que no es posible correlar y relacionar entre si el comportamiento de los mismos. Por ejemplo: la ejecución de Powershell por parte de Winword representa una anomalía a estudiar, pero si además podemos saber que el proceso padre de ese Winword es la aplicación Outlook podemos llegar a identificar que un ataque de tipo phishing ha tenido éxito.El resultado del estudio realizado mostrará como, mediante la correlación de eventos de endpoint, es posible detectar ataques sofisticados llevados a cabo por malware perteneciente a grupos APT y cibercriminales.Para ello se presentará el desarrollo de la herramienta “Sysmon Process Correlator”. Correlador de eventos de Sysmon basado en la jerarquía de los procesos y comportamiento anómalo, que será liberada como Open Source para el evento. Este software permite contrastar las reglas de detección contra ficheros de log de Sysmon tipo .evtx o mantenerse en modo demonio detectando ataques en tiempo real. El correlador implementa principalmente dos motores de detección:• El primero se focaliza en la detección de anomalías por desviación de la actividad normal de los procesos en un sistema Microsoft Windows, presentando un modelo de normalidad capaz de identificar situaciones de riesgo.• El segundo identifica actividad anómala por la relación en la jerarquía de creación de los procesos y sus acciones registradas por Sysmon.Como prueba de concepto se evaluará el correlador frente a la actividad de la herramienta Cobalt Strike, viendo que estrategias de detección existen para identificar ataques avanzados mediante frameworks de ataque de este tipo.