Longitud y entropía de los nombres

La entropía de una cadena, en el sentido de Shannon, mide cuánta incertidumbre hay en sus caracteres: cuanto más repartidos y menos predecibles, más alta. Se expresa en bits por carácter. Una palabra pronunciable repite letras y usa pocas; una cadena de letras y números al azar usa casi todos distintos, y su entropía sube hacia el máximo posible para ese número de caracteres.

Por eso una etiqueta corta como la de un servicio conocido sale baja, y una etiqueta larga de aspecto aleatorio sale alta. Es una forma de poner un número a la impresión de «esto no parece una palabra».

Mirar solo la entropía más alta te lleva a un error: hay servicios legítimos con etiquetas largas y aleatorias (identificadores de sesión, de dispositivo, de caché). La columna en_lista_conocida separa lo que la empresa reconoce de lo que no. El análisis útil se hace sobre lo que no está en la lista, ordenado por entropía.

Consulta nombres_vistos filtrando por en_lista_conocida = 'no' y compara entropia_bits_por_caracter.

En la tabla, un nombre tiene la etiqueta más larga y la entropía más alta de todas, y aun así no es sospechoso: se pide cientos de veces por hora y figura en la lista de servicios que la empresa reconoce. Es el patrón típico de un servicio de actualizaciones o de reputación en la nube que usa identificadores largos.

Esto es el falso positivo clásico de las medidas de entropía: una cifra alta no basta, hay que contrastarla con la lista de lo conocido y con la frecuencia.

La entropía de un nombre aislado dice poco; la forma de un conjunto de nombres dice más. Un equipo que pide cada nombre una sola vez, todos con aspecto aleatorio y de longitudes parecidas, no está usando un servicio: está recorriendo nombres que alguien o algo generó. Contar cuántos nombres distintos pidió es el primer paso para medir esa forma.

Consulta nombres_vistos filtrando por el cliente que pide nombres aleatorios una sola vez y cuenta las filas.

La entropía y la longitud son señales, no veredictos. Un buen análisis las combina: etiqueta larga y aleatoria, más nombre fuera de la lista conocida, más pedido una sola vez, más un solo equipo que lo hace. Cada rasgo extra reduce la probabilidad de que sea un uso legítimo, y es esa suma la que se lleva al informe.

El error contrario también existe: ignorar un patrón porque ninguna medida suelta pasa un umbral fijo. Los umbrales se calibran con la línea base de la propia red.