Reputación y prioridad de la cola

La pregunta del triaje no es «¿cuál parece más peligrosa?» sino «¿cuál, si es dañina, cuesta más cara si espero?». Tres datos responden a eso. Primero, si alguien la abrió: una muestra que ya se abrió en un equipo puede estar haciendo algo ahora mismo, y una que sigue retenida no. Segundo, cuántos buzones la recibieron: a más destinatarios, más oportunidades de que alguien la abra. Y tercero, si la huella ya tiene veredicto en el catálogo, porque una muestra conocida y benigna no necesita análisis.

Lo que la política deja en segundo plano es la cifra de detecciones externas. Informa, pero no ordena: un archivo nuevo puede tener cero detecciones porque aún nadie lo ha visto.

Una política de prioridades se aplica regla por regla, de la más urgente a la menos, y cada muestra cae en la primera que cumple. Abre SELECT * FROM politica y léela entera antes de mirar la cola: las reglas tienen condiciones que se combinan («y»), y basta que falle una para que la muestra caiga más abajo.

Después consulta SELECT * FROM cola y aplica la regla de máxima prioridad. Una muestra abierta, pero con veredicto benigno, no cumple su condición: no está «sin veredicto benigno».

Una vez resuelta la primera, el resto se ordena con la regla siguiente y, dentro de una misma prioridad, con el desempate que la política fija: primero la que llegó a más buzones. El motivo es práctico: si resulta dañina, la que llegó a más gente es la que tiene más probabilidades de que alguien ya la haya abierto sin que se sepa.

Una cifra de detecciones alta en una muestra sin abrir no la adelanta: la política no la usa para ordenar. Y una de cero detecciones no la retrasa si cumple la condición de la regla.

Una de las muestras de la cola se abrió en un equipo y, sin embargo, no está entre las primeras. No es un descuido de la política: es la razón por la que la regla de máxima prioridad exige que la huella no tenga veredicto benigno. Si el catálogo ya conoce el archivo como bueno, con su fuente y su fecha, abrirlo no es un incidente, es trabajo normal.

La salida para estas muestras no es «ignorarlas»: se cierran con registro, anotando la huella y la fuente del veredicto, para que quede constancia de por qué no se analizó.

Los equipos de TI y de seguridad suelen preguntar la misma cosa al final del triaje: cuánta gente está expuesta. La cifra sale de sumar los destinatarios de las muestras que el catálogo no conoce: las benignas ya están resueltas y no suman al riesgo pendiente.

La consulta SELECT id, destinatarios FROM cola WHERE en_catalogo = 'sin entrada' te da los números. El resultado, escrito en el parte de la tarde, es lo que permite al responsable de TI decidir si avisa a los usuarios antes de que abran nada más.