Para los sistemas basados en Windows, he visto que los cambios en el Registro o en los Directorios del sistema son algunas de las cosas que se utilizan para rastrear si una máquina se ha comprometido. Deben existir cosas similares para otras plataformas, y debo admitir que no las conozco.
Mi curiosidad aquí es que ¿cuáles son las mejores métricas que el personal de seguridad puede querer aprovechar (en el propio host o en el nivel de administrador de red) para decidir si un sistema se ha comprometido y hacerlos en un SO ¿De manera agnóstica? Es decir, estas métricas no deberían cambiar, independientemente de Windows, * nix, Mac o dispositivos de mano con Android, etc.