Herramientas y artefactos

Un artefacto es un rastro concreto que deja la actividad: el nombre de una tarea programada, una clave que se crea, una cadena con la que un cliente se identifica ante un servidor, una carpeta de trabajo. Una herramienta es el programa con el que se opera: un cliente de acceso remoto, un compresor, un cliente de transferencia. Una herramienta puede dejar artefactos distintos según cómo se configure, y un mismo artefacto puede venir de herramientas distintas.

Los dos viven por encima de los valores atómicos porque cambiarlos obliga a quien ataca a hacer trabajo: reconfigurar, sustituir el programa o aprender otro. No es imposible, pero no es un cambio de un byte.

Abre elementos: cada fila es algo que dejaron escrito las dos intrusiones, con su nivel de la pirámide y el valor visto en cada una. La columna igual dice si coincidió. Empieza por los artefactos, porque son los que se vuelven reglas cuando se repiten.

Para saber cuánto vale cada nivel hay que contar qué hizo quien atacó entre una intrusión y la siguiente. Si cambió la base de la pirámide y no cambió lo de arriba, el catálogo escrito con la primera intrusión se quedó viejo justo donde era más barato de escribir.

Un artefacto repetido es una oportunidad barata: no hace falta entender toda la intrusión para escribir una regla que lo busque, y esa regla habría visto las dos. Tiene una condición: hay que fijarse en el valor exacto, no en una descripción aproximada, porque es lo que se compara con el registro.

El catálogo actual tiene tres reglas de la base de la pirámide, escritas con la primera intrusión, y ninguna saltó en la segunda; solo saltó la de la herramienta, y tarde. Hay tiempo para una regla nueva esta semana y el equipo no quiere repetir el error de escribir lo que cambia primero.