Consultar la reputación: una señal, no un veredicto

Un observable es un dato que se puede buscar: el hash de un archivo (su huella exacta), una dirección o un dominio. Consultar su reputación es preguntarle a una fuente qué sabe de él: un agregador reúne el veredicto de muchos motores antivirus sobre un hash, una lista comunitaria recoge reportes de otras personas sobre una dirección, un registro dice a quién pertenece un bloque de direcciones o cuándo nació un nombre.

Lo que la consulta devuelve es lo que otros vieron, en otro lugar y en otro momento. No dice qué pasó en tu red. Por eso hay dos errores simétricos: tomar «muchos motores lo marcan» como prueba de que el equipo está comprometido, y tomar «ninguno lo marca» como prueba de que no lo está. Los dos tratan una señal como si fuera una sentencia.

Abre la consola. La alerta trae un hash, una dirección y un dominio; sus respuestas de reputación están en reputacion, y qué contesta y qué no cada fuente, en fuentes. Empieza por el dominio.

Un dominio nuevo casi nunca tiene reputación: nadie lo ha reportado todavía. Eso no lo hace limpio. Lo que sí puede hacer una fuente es decirte cuándo nació el nombre, y un nombre de pocos días que aparece en una alerta de adjunto es un dato que se pesa.

Los reportes de una lista comunitaria cuentan lo que pasó cuando se reportó. Una dirección con muchos reportes de escaneo no es lo mismo que una con reportes de esta semana: las direcciones se reasignan, se alquilan por horas y cambian de dueño. Cada respuesta de reputacion lleva su fecha_del_dato, y la hora de la alerta está en alerta.

Lo que se reportó de esta dirección, además, es otra conducta: escaneo de puertos, no entrega de archivos. La reputación de una dirección responde «¿a quién se le ha visto?», no «¿qué hizo hoy contra mí?».

Las fuentes externas hablan de otros. La que habla de lo tuyo es el historial propio: lo que los sensores de la empresa vieron en noventa días. Una reputación débil con un historial propio que muestra más equipos tocando lo mismo vale más que una reputación fuerte con un historial vacío, porque convierte una sospecha sobre un indicador en una pregunta sobre tus máquinas.

Ya tienes las piezas: un hash con pocos motores y sin familia, una dirección con reportes viejos de otra conducta, un dominio de cinco días sin historia y un segundo equipo que repitió lo mismo. Ninguna fuente externa decide; el conjunto, sí.