Entropía de cadenas — dominios generados y su límite

La entropía de Shannon de una cadena se calcula sobre la frecuencia de sus caracteres. Si cada carácter aparece con probabilidad p, aporta −p × log2(p) bits, y la entropía es la suma de las aportaciones. Una cadena con pocos caracteres distintos y muy repetidos tiene entropía baja; una cadena con muchos caracteres distintos y repartidos de forma pareja tiene entropía alta, y el valor máximo para una longitud dada se alcanza cuando todos son distintos.

La idea de la caza es sencilla: el nombre que escribe una persona, como correo o portal, usa letras que se repiten y siguen palabras; el nombre que sale de un generador automático reparte los caracteres sin patrón. Pero la entropía solo mira la forma del texto, no su significado ni su historia, y ahí empiezan sus límites.

Abre la consulta de frecuencias. La etiqueta de práctica tiene ocho caracteres, cada uno con su número de apariciones. Para cada carácter, p es sus apariciones dividido entre ocho; la aportación es −p × log2(p). Con probabilidades que son potencias de un medio, el logaritmo en base dos sale exacto: 1/2 vale 1, 1/4 vale 2, 1/8 vale 3.

Para que el resultado sea un número entero, pide la entropía total de la etiqueta en bits, es decir, la entropía por carácter multiplicada por la longitud.

La regla de la caza marca las etiquetas con más de 3.5 bits por carácter. Aplícala a la tabla de dominios: varios superan el umbral. Entre ellos hay uno que es totalmente legítimo: una red de distribución de contenido que genera nombres aleatorios por diseño, consultada por decenas de equipos desde hace años y sin una sola consulta fallida.

Esa es la primera lección del límite: la entropía alta describe la forma del nombre, no la intención. Por eso la regla se combina con señales de contexto que no dependen del texto: cuántos equipos lo consultan, cuánta edad tiene el dominio y cuántas consultas no resuelven.

El adversario también puede generar nombres juntando palabras corrientes, y esos nombres tienen una entropía baja, más parecida a la de un nombre humano que a la de una ristra al azar. La regla de 3.5 bits no los marca. Lo que sí los delata es el contexto: un dominio registrado hace pocos días, consultado por un solo equipo y con muchas consultas que no resuelven.

Esta es la segunda lección: un filtro de entropía deja pasar lo que no parece azar. Se cazan los dos casos juntos mirando la forma y el contexto a la vez.

Un cazador que quiere dejar una regla útil no apuesta todo a la entropía. La regla combina señales independientes: si dos dominios generados distintos se escapan de una por razones distintas, la otra los recoge. Y cada señal se mide por separado, para saber cuánto ruido añade.