Frecuencia de aparición y cola larga

Cuando se cuenta en cuántos equipos aparece cada binario y se ordena de más a menos, la gráfica tiene casi siempre la misma forma: una cabeza de pocos elementos presentes en casi todo, y una cola larga de muchos elementos presentes en muy pocas máquinas. Es lo contrario de una campana, y por eso un promedio no la describe: lo que interesa es la frecuencia de cada valor.

Cazar por frecuencia consiste en ordenar de menos a más y mirar la cola. La idea detrás es simple: un adversario que instala algo a propósito en una o dos máquinas produce una frecuencia baja; lo que corre en todos los equipos, ya lo vio la defensa. Pero baja frecuencia describe rareza, no maldad, y la sala entera existe para separar las dos.

Abre la consola. La tabla binarios trae, para cada binario distinto visto en la ventana, su carpeta, su firmante, en cuántos equipos corrió, cuántas veces y cuándo apareció. Ejecuta binarios | sort by n_equipos desc | take 5 para ver la cabeza, binarios | summarize total = count() para saber cuántos binarios distintos hay y binarios | where n_equipos == 1 | summarize binarios = count() para contar los que corrieron en un solo equipo.

Los que aparecen en un único equipo son el extremo de la cola: los más difíciles de ver con una regla general y los más baratos de revisar uno a uno.

La cola de una flota está llena de software legítimo: la aplicación de la balanza, el lector de huellas, el parche de la nómina. Si cada elemento de la cola fuera una alerta, el turno se ahogaría. Lo que se hace es añadir a la frecuencia las otras señales de la misma fila: el firmante, la carpeta desde la que corre, si el nombre imita a un proceso del sistema, la fecha en que apareció y si hay un cambio aprobado que lo explique.

Cada señal descarta una parte de la cola: lo firmado por un proveedor conocido, lo que viene en una carpeta de programas con cambio aprobado. Lo que queda después de varios recortes es una lista corta que sí se puede investigar.

Medir la cola ayuda a decidir si cazar por frecuencia es viable. Ejecuta binarios | where n_equipos <= 3 | summarize en_cola = count() para saber cuántos binarios corrieron en tres equipos o menos, y compáralo con el total de la tarea 2. La proporción dice qué parte del inventario se define por rareza. Si fuera el 90 %, la rareza no discriminaría nada; si fuera el 1 %, bastaría con mirarla.

Calcula el porcentaje de binarios distintos que están en la cola, con ese corte de tres equipos, y redondea al entero.

Ejecuta cola_larga para ver los 24 binarios con los equipos donde corrieron y el cambio aprobado si lo hay, cola_larga | where firmante == "sin firma" para quedarte con los que no traen firmante, y cambios para ver los cambios aprobados. De los tres sin firmante, uno tiene un cambio aprobado que lo explica. Otro está en una carpeta pública, pero su nombre no imita nada del sistema. Y uno reúne todo: sin firma, en una carpeta pública, sin cambio aprobado y con un nombre que es el de un proceso del propio sistema operativo, que no vive en esa carpeta.

Eso no prueba una intrusión: da una hipótesis concreta que comprobar en el equipo donde corrió.