Reglas de red, a nivel de lectura

Una conversación de red tiene datos que quien distribuye una muestra cambia sin esfuerzo y datos que le cuesta cambiar. La dirección del servidor y el nombre de dominio se alquilan o se registran de nuevo en un día. El texto con el que el programa se presenta (el agente de usuario) y el ritmo con que repite sus visitas están dentro del programa: cambiarlos obliga a tocarlo.

Una regla de red se apoya en uno de esos datos, y la duración de la regla es la del dato. Las de dirección y dominio son rápidas de escribir y rápidas de quedar obsoletas; las de texto del agente y las de ritmo duran más pero exigen que el sensor vea el contenido de la petición.

Mira el registro de peticiones del primer equipo afectado. Las conexiones al servidor se repiten a intervalos iguales; esa regularidad es una conducta de la muestra y, a diferencia del nombre del servidor, se mantiene entre variantes. El registro la anota en segundos.

Ese ritmo no se convierte en regla con facilidad en un IDS de firmas, pero sí en una búsqueda sobre los registros, y es una base de detección que sobrevive al cambio de servidor.

Cada una de las cuatro reglas lee una parte distinta: el agente de usuario, el nombre en DNS, la ruta de la petición y la dirección de destino. La prueba de la semana separa sus resultados y marca si cada una ve la variante nueva, la que usa otro dominio y otra dirección.

Hay que combinar dos criterios: que vea la variante nueva y que no genere falsos positivos. Filtra la prueba por los dos.

Una de las reglas busca la ruta de la petición. En la semana de prueba disparó docenas de veces, casi todas sobre una actualización legítima de la balanza que usa exactamente la misma ruta. Una ruta como /api/v1/sync es un nombre de moda entre aplicaciones, no una propiedad de la familia.

Eso no obliga a tirarla: una ruta puede servir como segunda condición junto al agente de usuario, de modo que solo coincida cuando las dos se dan. Sola, genera un problema de ruido que ninguna excepción por programa resuelve de forma sostenible.