Falsos positivos de los motores y cómo reportarlos

4 tareas · 38 min · Principiante

El actualizador del plotter de corte de Confecciones Síquima, SQ-12, sale con tres detecciones. TI lo descargó del portal del fabricante y lo quiere instalar el miércoles en los equipos de diseño. Antes de bloquearlo o de darlo por bueno hay que leer qué dicen esas detecciones, qué dice el resto de la evidencia y, si es un error de los motores, a quién se le reporta y con qué. Todo es lectura de fichas y tablas ficticias; nada se ejecuta.

0 de 4 · 0%

Objetivo de la sala

Un falso positivo es una detección sobre un archivo legítimo. Pasa a menudo con instaladores comprimidos, herramientas de administración y programas poco difundidos: los heurísticos y los modelos ven rasgos que comparten con el malware y disparan. Ninguna señal por sí sola lo prueba, pero varias juntas sí lo hacen razonable.

Las que pesan son las que vienen de fuera de los motores: una firma digital válida de un fabricante conocido, una huella que coincide con la que publica ese fabricante, un origen comprobado (su portal, no un enlace de correo) y un comportamiento coherente con lo que el programa dice ser. Del lado de los motores, pocas detecciones y todas genéricas, heurísticas o de modelo.

Responde para continuar

¿Qué conjunto de señales hace razonable tratar SQ-12 como un falso positivo?

Que TI lo necesita instalado el miércoles y que viene de un fabricante con el que hay contrato Que solo tres motores lo detectan, que 52 de los que dieron veredicto no encontraron nada y que siete no opinaron Firma válida del fabricante, huella igual a la publicada, origen en su portal y solo nombres heurísticos o de modelo

Ver pista de ayuda

Busca las señales que no dependen de contar motores.

Abre el laboratorio y ejecuta SELECT * FROM detecciones_sq12, SELECT * FROM ficha_sq12 y SELECT * FROM nucleos.

Un falso positivo se corrige donde nace: en el fabricante del motor que se equivocó, por el canal que ese fabricante publica. Reportarlo al servicio multimotor no sirve, porque el servicio solo muestra lo que dicen los motores. Y cuando un motor usa el núcleo de otro, su error es el del dueño del núcleo: se corrige allí y se arregla en los dos.

Responde para continuar

Escribe el motor al que no hace falta reportar por separado porque su detección se corrige en el núcleo de otro.

Ver pista de ayuda

Mira en `nucleos` cuál de los tres no tiene núcleo propio.

Ejecuta SELECT * FROM canales_de_reporte. Cada fabricante pide cosas distintas: unos se conforman con la huella y una justificación, otros piden el archivo. Aquí entra de nuevo lo que viste en la sala anterior: el archivo solo se entrega si se puede compartir. Un instalador público de un fabricante se puede; un documento interno, nunca.

La justificación se escribe con la evidencia, no con la opinión: firmante, estado de la firma, coincidencia con la huella publicada y origen.

Responde para continuar

Escribe el canal del fabricante que solo acepta la huella y la justificación.

Ver pista de ayuda

Busca en `que_piden` el que no recibe archivos.

El fabricante del motor puede tardar días en corregir. Mientras tanto, si el antivirus de la empresa es uno de los que se equivocan, el miércoles bloqueará la instalación. La salida es una excepción estrecha: por la huella exacta de esa versión, con fecha de revisión y anotada en el caso. Nunca por nombre de archivo, que cualquiera puede copiar, ni por carpeta entera, y menos apagando el motor.

Ejecuta SELECT * FROM inventario_plotter y fíjate en que no todos los equipos tienen la misma versión.

Responde para continuar

¿Qué excepción se pide para instalar el actualizador mientras se corrige el falso positivo?

Una para la carpeta del programa del plotter en todos los equipos de diseño, revisable cuando se corrija Una para la huella 7c20…19be de la versión 4.2.1, con fecha de revisión y anotada en el caso Una para el nombre actualizador_plotter.exe, que es como se llama el archivo en todos los equipos de diseño

Ver pista de ayuda

La excepción tiene que cubrir ese archivo y ningún otro.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Señales de un falso positivo Lab

2 A quién se reporta Lab

3 Con qué se reporta Lab

4 Mientras lo corrigen Lab

Whoami-Labs Pro utiliza cookies