Cuánto análisis basta: triaje, básico y profundo

Los equipos de análisis suelen trabajar por niveles de profundidad, aunque cada uno los nombre a su manera. El triaje mira la muestra sin ejecutarla: huella, tipo real, reputación, cadenas a la vista. Responde si es maliciosa y dónde más está ese mismo archivo. El básico lee lo que la muestra hizo en un entorno aislado y su ficha estática: con quién habla, qué crea, cómo vuelve a arrancar. El profundo lo hace un especialista que lee el desensamblado: encuentra lo que la muestra puede hacer aunque no lo haya hecho mientras se la observaba.

La guía SP 800-83 distingue algo parecido entre el análisis que se hace observando la muestra en un sistema de pruebas y el que se hace examinando el equipo infectado. Lo que importa aquí es la regla práctica: cada nivel cuesta más que el anterior, y se paga solo si la pregunta lo exige.

Abre el laboratorio. SELECT * FROM hallazgos_basico trae lo que dejó el análisis básico: dos ejecuciones en el entorno aislado y la ficha estática del componente.

Un dominio al que la muestra vuelve a intervalos fijos suele ser su canal de mando: el que hay que bloquear y vigilar primero. Otro dominio consultado una sola vez para bajar un componente también se bloquea, pero no cumple la misma función.

SELECT * FROM solicitudes WHERE nivel_minimo = 'profundo' deja una sola pregunta: si la muestra recoge contraseñas. En ninguna de las dos ejecuciones lo hizo, y aun así el equipo pide el nivel caro. Para justificarlo no basta con «por si acaso»: hace falta un indicio concreto en lo que ya se tiene.

Una cadena en la ficha estática no prueba que la muestra la use. Pero si nombra justamente el archivo donde un navegador guarda contraseñas, es razón suficiente para pedir que alguien lea el código y confirme si esa función existe.

Una vez sabido qué pregunta necesita el nivel caro, conviene contar cuántas pueden contestarse ya, para que la líder sepa qué le llega hoy y qué el jueves. Se cuentan solo las preguntas que alimentan una decisión: la que no tiene ninguna detrás no entra en la cuenta.

Una muestra siempre esconde algo más que se podría estudiar. El criterio para parar no es haberlo visto todo, sino que el siguiente nivel de análisis ya no cambie ninguna decisión. A partir de ahí, seguir es investigación, valiosa para la inteligencia y para la revisión posterior, pero ya no es respuesta.