Del indicador a la regla de red

No todos los indicadores de red valen lo mismo en el tiempo. Una dirección IP es la más fácil de cambiar para quien opera el servidor y la que más fácilmente acaba en manos de otra persona. Un dominio cuesta algo más de mover. Un agente de usuario o la forma de la petición (ruta, orden de cabeceras, tamaño) dependen del programa y cambian solo cuando se reescribe. Cuanto más cerca del comportamiento del programa, más dura el indicador; cuanto más cerca de la infraestructura, antes caduca.

Por eso una lista buena mezcla niveles: la dirección bloquea hoy, el comportamiento detecta mañana.

Un candidato visto en la captura puede ser un servicio genérico que la muestra también usa. Bloquearlo por esa razón corta a cualquier equipo que lo necesite. Antes de proponer un bloqueo se mira el histórico de la empresa: cuántos equipos lo consultaron en los últimos 30 días. Si ya lo usa media oficina, el candidato no es un indicador de la muestra; es un servicio que la muestra también tocó.

Abre SELECT * FROM candidatos y mira la última columna.

La confianza de un indicador no se pone a ojo. Una guía simple y reproducible:

• Alta: aparece en dos o más fuentes distintas (DNS, HTTP, TLS, flujos) y ningún equipo de la empresa lo consultó antes.
• Media: aparece en una sola fuente y ningún equipo lo consultó antes.
• No se bloquea: algún equipo de la empresa ya lo consulta, sea cual sea el número de fuentes.

Aplica la guía a candidatos y cuenta los de confianza alta.

Una regla de red se mide por lo que dispara sobre el tráfico normal. La columna falsos_positivos_estimados_30d de regla_propuesta dice cuántas coincidencias habría dado cada regla sobre el DNS y el HTTP de la propia empresa en 30 días. Una regla que vigila lo exacto (un dominio, una dirección, un agente) casi no da falsos positivos; una que vigila una forma general puede dar cientos y acabar apagada por el turno.

Las reglas del laboratorio son descripciones de qué vigilar, no sintaxis de ningún motor.

Un indicador sin fecha se queda en la lista para siempre. Las direcciones se reasignan: la que hoy es de un servidor malicioso puede ser mañana de una tienda inocente, y bloquearla seguirá cortando algo que ya no es lo que fue. Cada indicador de infraestructura lleva fecha de revisión, y al vencer se vuelve a mirar si sigue siendo útil.