De la salida al indicador y a la regla

Un valor sirve de indicador si es propio de la muestra y no aparece en equipos sanos. Si el valor está en casi todos los equipos, buscarlo devuelve ruido; si es del equipo analizado y de nadie más, no sirve para encontrar otros. La medida es sencilla y se hace antes de publicar nada: cuántos equipos sanos lo tienen.

En candidatos.txt cada valor viene con esa medida contra seiscientos equipos sanos.

Una regla de archivos busca cadenas. Cada una debe cumplir lo de la tarea anterior, y se comprueba con una prueba contra archivos sanos: si una cadena aparece en casi todos, la regla se dispara en casi todos. La prueba cuenta las coincidencias de cada cadena por separado, y así se sabe cuál estorba.

Lee regla-borrador.yar y prueba-de-regla.txt, y cruza el identificador de cada cadena con su valor.

No todos los indicadores duran lo mismo. La dirección IP y el dominio son del operador de la infraestructura, que puede cambiarlos sin tocar el programa. El nombre de un archivo o de un objeto que el propio programa lleva dentro cambia solo si alguien modifica el programa. Por eso un informe ordena los indicadores y avisa de cuáles caducan antes que los demás.

Del análisis sale una consulta práctica para el SOC: qué buscar en los otros equipos de la empresa. Un nombre de archivo sirve en el inventario de archivos y en los registros de creación; una dirección, en el proxy. Cada fuente se consulta con el indicador que le corresponde.

Un informe separa lo que la evidencia demuestra de lo que solo se sospecha. Que un proceso estaba duplicado, que se conectaba a una dirección cada cinco minutos y que tenía un ejecutable sin archivo en memoria está en las salidas. Quién está detrás, o a qué sector apunta, no está en ninguna: atribuir sin evidencia es la afirmación más fácil de escribir y la que más cuesta retirar.

Lee informe-borrador.txt.