Umbrales, falsos parecidos y cómo declararlos

Ningún método de similitud trae un número mágico que separe «pariente» de «ajeno». El umbral lo fija cada equipo con sus propios datos: toma pares que ya sabe que son de la misma familia, porque los confirmó a mano, y pares que sabe que no lo son, y mira qué pasa con cada valor posible.

Al aflojar el umbral (en TLSH, aceptar distancias más grandes) se encuentran más parientes, pero también se unen más pares ajenos. Al apretarlo pasa lo contrario. No existe un valor que gane en las dos cosas: el equipo decide cuántos falsos parecidos tolera y lo deja escrito, con la fecha y los datos con los que lo calibró. Por eso un umbral copiado de otro equipo, o de un artículo, no vale sin probarlo contra la flota propia.

Abre el laboratorio y ejecuta SELECT * FROM regla_de_calibracion y SELECT * FROM calibracion_junio.

La colección de junio incluye por primera vez instaladores nuevos de la flota, y eso cambia los números. Aplica la regla tal como está escrita: el umbral más alto que no una más pares ajenos de los que permite.

Un umbral más estricto no sale gratis: algunos parientes de verdad quedan por encima y ya no se unirán por TLSH. Ese costo se anota en la política junto al cambio, para que nadie crea que el método ve más de lo que ve y para que los otros métodos carguen con esa parte.

Ejecuta SELECT * FROM falsos_parecidos.

Un hash difuso mide bytes, y no todos los bytes de un archivo los escribió su autor. Hay tres causas que se repiten: una biblioteca enlazada dentro del ejecutable (compresión, cifrado, red) que ocupa la mayor parte del archivo; un generador de instaladores o un empaquetador cuyo programa de arranque es idéntico en todo lo que produce; y una plantilla de proyecto que deja el mismo esqueleto en programas pequeños. En los tres casos el parecido es real en bytes y falso como parentesco.

ECA-21 y ECA-22 están a una distancia TLSH de 38, dentro de cualquier umbral razonable, y ssdeep les da 74. Fabián ya sabe por qué se parecen. Un grupo, o un no-grupo, se declara con lo que un revisor necesita para repetirlo: los miembros, los métodos con su valor, el umbral con la fecha de su política, lo que no se comparó y la explicación de cualquier parecido que se descarta.