El informe de cierre de un caso de proveedor

Una evidencia vale por su cadena de custodia: quién la tuvo, desde cuándo y a quién se la pasó. Cada traspaso tiene que encajar con el anterior: quien la recibió es quien la entrega en el siguiente. Si no encaja, hay un tramo en el que nadie responde de ella, y un abogado o un perito pueden pedir que no se admita.

Se revisa traspaso por traspaso dentro de cada evidencia, en orden cronológico, comparando quién recibió con quién entregó a continuación.

Un asistente de IA escribe bien y con seguridad incluso cuando se equivoca. Resume lo que se le dio y, a veces, añade lo que le parece lógico: un detalle que no estaba en el expediente. Ese es el riesgo en un informe: una frase plausible que nadie puede respaldar.

Se revisa línea por línea: cada afirmación debe tener una fila de la cronología que la sostenga. Una que suene verosímil pero no esté en ninguna se retira o se marca como hipótesis.

Un informe de cierre lleva sus tiempos, porque con ellos se compara un caso con el siguiente y se mide si el SOC mejora. El tiempo de respuesta cuenta desde que el SOC tiene la señal hasta que contiene, no desde que ocurrió el hecho ni desde que alguien lo notó por otro lado.

No confundas ese tiempo con el de permanencia del actor en el entorno, que es otro indicador y se cuenta desde su primer acceso.

Compartir indicadores ayuda a otros, pero lo que sale de la empresa no se puede recoger de vuelta. Por eso Chivor tiene una regla: solo salen los indicadores en los que el analista confía y que no identifican a ninguna persona, ni del proveedor ni de la empresa.

Aplica las dos condiciones a cada fila. Uno que cumple una y falla la otra se queda en casa.

No todos los indicadores valen lo mismo. Cambiar una huella de archivo o una dirección IP le cuesta casi nada a quien ataca; cambiar la manera de operar le cuesta mucho. La pirámide del dolor ordena los tipos de indicador por lo que le cuesta al adversario sustituirlos.

Un detector construido sobre el nivel más alto sobrevive a que el adversario cambie sus herramientas y su infraestructura.