Contexto y caducidad de un indicador

Una dirección IP o un dominio no son del atacante para siempre. El servidor se alquila, se devuelve y lo reutiliza otra persona; el dominio caduca y lo compra un tercero legítimo. Si la lista de bloqueo conserva el valor para siempre, con los meses empieza a bloquear cosas que ya no tienen nada que ver con el caso, y nadie sabe por qué están ahí porque la razón quedó en un ticket antiguo.

Por eso cada indicador lleva tres datos junto al valor: cuándo se vio por primera vez, cuándo se vio por última vez y de dónde sale. Con ellos se aplica una política de caducidad: los valores que cambian rápido (direcciones) caducan pronto, los que cambian poco (huellas de archivo) caducan tarde, y una observación nueva renueva el plazo.

Entre los candidatos de una muestra casi siempre se cuela un valor perfectamente legítimo: el programa consulta, en su primer segundo, un servicio que también consulta casi todo el mundo (tipografías, actualizaciones, un reloj de red). Aparece en la captura porque el programa lo usó, no porque sea malicioso. Bloquearlo apaga el trabajo de toda la oficina.

La comprobación es sencilla y siempre la misma: contrastar cada candidato con el tráfico de un día normal de la red. Si casi todos los equipos ya lo consultan, no entra en la lista de bloqueo.

Abre el laboratorio. En la carpeta indicadores tienes los candidatos, la política de caducidad, el tráfico de un día normal y el alojamiento de una dirección.

La política de caducidad del equipo, en politica-de-caducidad.txt, fija un plazo por tipo de indicador y lo cuenta desde la última vez que se vio, no desde la primera. Eso significa que un valor que se sigue viendo se renueva solo, y uno que dejó de aparecer sale de la lista cuando se cumple el plazo.

Es un cálculo corto, pero se hace siempre con las fechas del caso, no de memoria: tomas la última observación, sumas los días del plazo del tipo y escribes la fecha resultante en formato AAAA-MM-DD, con el cambio de mes bien contado.

Una dirección IP alojada en un servicio compartido sirve a decenas de sitios que no tienen nada que ver entre sí. Bloquear la dirección entera corta a todos, incluidos comercios legítimos que probablemente sean clientes o proveedores de alguien. La información no se tira: se guarda como contexto, con caducidad corta, y la acción de bloqueo se aplica al dominio, que sí es específico.

Lee hospedaje.txt y la política antes de decidir.