La línea de base — saber qué es normal

La caza por anomalía compara lo que ve contra lo que debería ver. Si no existe ese «debería» —la línea de base—, no hay forma de decir que algo se sale: cada conexión parece posible y ninguna destaca. Conocer lo normal del entorno es lo que convierte un mar de eventos en un fondo contra el que una desviación resalta. Por eso el trabajo empieza antes de la caza, describiendo lo esperado.

Un cazador sin línea de base comete los dos errores a la vez: marca como amenaza lo primero que no reconoce (falso positivo) y deja pasar lo malicioso que se parece a lo de todos los días (falso negativo). La línea de base es lo que separa esos dos.

Una línea de base útil describe varias dimensiones del entorno: qué procesos corren habitualmente en cada tipo de máquina, qué conexiones son el tránsito normal (quién habla con quién), cuánto tráfico sale en un día típico y a qué horas, qué cuentas inician sesión dónde. No es una foto fija: es el patrón esperado, con su variación normal (un lunes no es igual que un domingo). Cuanto más fiel, más fina la señal que deja ver.

Lo que no entra en la línea de base es un punto ciego por diseño: si nunca describiste el tráfico de una subred, no sabrás que se desvió. Por eso la cobertura de la línea de base y la de la telemetría van de la mano.

Que algo se desvíe de la línea de base no prueba que sea malicioso: un empleado nuevo, una actualización, un proyecto puntual producen desviaciones legítimas. La anomalía es una pista que merece una hipótesis y una comprobación, no una alarma automática. El cazador la toma como «aquí hay algo que explicar», formula qué conducta benigna o maliciosa la produciría, y va a los datos a distinguirlas.

Tratar toda desviación como amenaza entierra al turno en falsos positivos y quema la credibilidad de la caza. La señal honesta es «esto no encaja con lo normal, hay que entender por qué», no «esto es un ataque».

Una línea de base no se construye una vez y se olvida: el entorno cambia. Se despliega software nuevo, se reorganizan equipos, cambia el patrón de trabajo. Una línea de base vieja marca como anómalo lo que ya es normal (ruido) y da por normal lo que cambió (ceguera). Mantenerla al día es parte del oficio —igual que una regla, envejece y hay que revisarla contra la realidad del parque—.

El síntoma de una línea de base caduca es un goteo de falsos positivos por cosas que «todo el mundo sabe que ahora es así». Cuando el equipo empieza a ignorar desviaciones por costumbre, la línea de base ya no describe el entorno.

Abre el laboratorio de la línea de base. Tienes el patrón normal del parque de Brío y dos desviaciones observadas esta semana. Una se explica por un cambio legítimo registrado —coincide con un despliegue anotado en el calendario de cambios—; la otra no encaja con nada normal ni con ningún cambio, y es la que merece convertirse en hipótesis de caza. Aísla la desviación real y lee su ficha hasta el final.