El portal que empezó a llamar

El DNS es el registro de lo que un equipo quiso alcanzar antes de hacerlo. En el de esa noche aparecen varios dominios que Tolosa no había visto, y no todos significan lo mismo: uno puede ser una oferta que llegó por correo y lo consultan muchas personas; otro, un nombre que solo un servidor pide. Para separarlos sirve el resumen de 30 días: cuántos equipos lo consultan y desde cuándo.

Quédate con el dominio que nadie había consultado antes de esta semana y que solo consulta un equipo, justo el que no suele navegar.

Un nombre es solo una etiqueta; lo que importa para el cortafuegos y para los demás registros es la dirección a la que resuelve. Esa dirección es el puente entre el DNS y el resto de la evidencia: con ella se buscan las conexiones, los volúmenes y los nombres pedidos por TLS. Léela en el propio registro de DNS, no la deduzcas del resto.

Un servidor que no navega y que llama al mismo destino con el mismo tamaño a intervalos casi iguales se comporta como un programa, no como una persona. El extracto muestra las seis primeras conexiones; entre una y otra hay una separación que varía unos pocos segundos. Mídela entre cada par de conexiones consecutivas hacia ese destino y quédate con el promedio, en segundos.

Medir el compás no es suficiente: hay que saber por qué un intervalo casi fijo apunta a un programa y no a una persona, y por qué eso no basta para llamarlo malicioso. Un informe que mezcle las dos cosas se cae con la primera pregunta de quien lo revise.

Esa misma semana aparecen dos dominios nuevos en el DNS: el de las ofertas y el del portal. Los dos son nuevos y los dos terminan en .example, pero no merecen la misma respuesta. Compara en el resumen de 30 días y en las huellas de TLS quién los consulta, cuántos equipos lo hacen y cómo.