Del informe al comportamiento redactado

En un comportamiento redactado, cada frase es de una de tres clases. Observado: lo que el informe registra, con proceso y momento («el proceso 2260 escribe el valor X en la clave Run»). Inferido: lo que se deduce de lo observado y se marca como tal («sugiere», «es compatible con»). No se sabe: lo que el entorno no podía ver, escrito aparte como límite.

Mezclar las tres hace que un lector crea que una hipótesis es un hecho. Lee guia-de-redaccion.txt y evidencia.txt antes de contestar.

Abre borrador-de-comportamiento.txt y compara cada línea con la evidencia. Cinco de las seis frases se pueden sostener con alguna línea E (algunas como inferencia). Una afirma una intención y un efecto que el entorno no pudo ver: no había documentos de la empresa y el simulador no contestó, así que nada permite decir qué se llevó la muestra ni a quién.

Una frase así se corrige de dos maneras: se retira, o se reescribe como observación («conecta cuatro veces a una dirección y envía una cantidad fija de bytes») más un límite («no se pudo comprobar qué contenían los envíos»).

En candidatos-a-indicadores.txt hay seis candidatos. Un indicador útil es un valor que, al encontrarlo en otro equipo, apunta con buena probabilidad a la muestra y no a la actividad normal. Cuatro de los candidatos nacen de procesos de la rama de la muestra; uno es el propio programa de Windows ipconfig.exe (legítimo y de uso diario), y uno es un dominio consultado por un servicio del sistema, no por la muestra.

Un indicador mal elegido genera falsos positivos: alertas sobre tráfico y programas normales, que gastan la atención del equipo y acaban apagando la regla.

El informe de entorno aislado permite describir una conducta; no permite atribuir autoría ni calcular el daño. El veredicto final de un comportamiento redactado dice qué hace la muestra en el entorno observado, qué se infiere con la evidencia que lo sostiene, y qué falta para decir más (otra captura más larga, el análisis estático, la revisión de los equipos reales).

Y termina con una recomendación acotada: lo que conviene comprobar en la red de la empresa, sin dar por hecho que ya ocurrió.