Anatomía de un informe de entorno aislado

Un informe de entorno aislado es un registro: lista de procesos, archivos, claves del registro, conexiones de red y otras marcas que el servicio anotó mientras la muestra corría en una máquina desechable. Quien lo recibe no necesita abrir la muestra para nada: todo lo que se puede decir de su comportamiento dinámico está en ese texto, y todo lo que no está ahí, no se puede decir.

Esto cambia la pregunta de trabajo. No es «¿qué pasa si la abro?», sino «¿qué dice el informe, con qué fiabilidad, y qué le falta?». Por eso este módulo trabaja siempre con informes de ejemplo sobre muestras ficticias, y nunca con ejecución.

La portada del informe no cuenta qué hizo la muestra, pero fija en qué condiciones se observó: la imagen base (el sistema operativo y los programas con que arrancó la máquina), si había red real o un simulador, cuándo empezó y cuándo terminó la captura. Todo lo que el informe afirme después hay que entenderlo dentro de esas condiciones.

La imagen base importa por una razón concreta: todo lo que esa imagen hace por sí sola (actualizaciones, indexado, comprobaciones) aparecerá en el informe aunque no tenga nada que ver con la muestra. Para separar lo uno de lo otro hay que saber con qué imagen se trabajó. Abre portada.txt.

La portada da la hora de inicio y la de fin de la captura. La duración es un número que el informe no escribe y que sale de restar las dos. Importa porque todo lo observado cabe en esa ventana: un informe de dos minutos y uno de diez no son comparables, y una conducta que ocurre pasado ese tiempo no sale en ninguno de los dos.

Muchos servicios resumen el informe con una puntuación y un veredicto («sospechoso», «malicioso»). Son cómodos para ordenar una cola de trabajo, pero se calculan con reglas automáticas: cuentan señales conocidas (una clave de arranque nueva, una conexión repetida) sin entender el contexto. Una muestra con 6 de 10 no es «un 60 % maliciosa», y una con 3 no es inocua si el informe no vio el momento relevante.

La puntuación es el punto de partida de la lectura, nunca su conclusión. La conclusión sale de las líneas concretas que la sostienen.