De la caza a la regla

La caza encontró una tarea programada que lanza un intérprete desde una carpeta temporal del perfil. La tentación es escribir la regla contra lo exacto que se vio: este nombre de tarea, esta ruta, esta cuenta. Esa regla atrapa el caso de ayer y nada más, porque mañana el intruso usará otro nombre y otra ruta. La regla que sirve describe la conducta —«una tarea programada que lanza un intérprete de comandos desde una ubicación temporal de usuario»— para que dispare con la forma del ataque aunque los valores concretos cambien.

Es la misma lección que la caza: el nombre y la ruta son baratos de cambiar; la conducta es cara. Una regla anclada a valores concretos es una regla que el adversario esquiva sin esfuerzo la próxima campaña.

El error de la regla nueva es abarcar de más. «Alerta con cualquier conexión a un destino externo» detecta el canal de mando… y también cada visita web de cada empleado: miles de alertas al día, todas ruido. El turno deja de mirar esa regla porque no da abasto, y entonces la alerta que importa se pierde entre las que no. Una regla que genera tanto falso positivo que nadie la atiende es peor que no tener regla, porque da una falsa sensación de cobertura mientras esconde lo real bajo el ruido.

Afinar es acotar la condición hasta que solo salte con la forma que importa: no «cualquier conexión externa», sino «conexiones periódicas de tamaño constante al mismo destino, sostenidas en el tiempo». Cada acotación quita ruido sin perder el patrón que la caza identificó.

Una regla se mide por dos errores opuestos. Se le escapa el ataque que debía ver: eso es un falso negativo, lo grave, porque la amenaza pasa inadvertida y la regla da una cobertura que no existe. Y salta con actividad legítima: eso es un falso positivo, que cuesta tiempo del turno y, si abunda, lleva a que se ignore la regla. Afinar es mover el umbral entre esos dos errores y medir con datos reales cuántas veces acierta y cuántas molesta, en vez de suponer que «parece que funciona».

No hay un punto perfecto fijo: depende de qué protege la regla. Para un activo crítico se tolera más ruido con tal de no perderse nada; para un evento menor se prioriza la cola limpia. Lo que no es opcional es medir: una regla soltada sin medir es una apuesta, no una detección.

Antes de soltar una regla, se prueba contra la telemetría real. La caza del canal de mando produjo una regla sobre el latido; al probarla contra una semana de datos, debería disparar con el beacon plantado y —esto es lo que la valida— no disparar con el agente de gestión legítimo que también late cada minuto. Si dispara con ambos, hay que afinarla: excluir el proceso y el destino conocidos del agente para que el aviso signifique algo. Una regla se da por buena cuando dispara con el ataque y calla con el ruido, no cuando dispara con el ataque a secas.

Probar contra datos reales convierte «creo que la regla funciona» en «detecta esto y cuesta esto». Es el cierre del ciclo de la caza: se descubrió la huella, se escribió la regla, y se comprobó que la regla ve lo que debe y calla ante lo que no.

Abre el laboratorio de la prueba de la regla. La caza del canal de mando produjo una regla sobre el latido, y hay dos versiones probadas contra la misma semana. Una dispara con el beacon y también con el agente de gestión legítimo que late cada minuto —ruido que el turno acabaría ignorando—. La otra está afinada: excluye el proceso y el destino conocidos del agente, así que dispara con el ataque y calla con lo benigno. Esa versión afinada lleva el código de la sala.