Indicadores atómicos y su vida corta

La pirámide del dolor ordena lo que se puede detectar de una intrusión según cuánto le cuesta a quien ataca cambiarlo. En la base están los valores atómicos: la huella de un archivo, la dirección IP y el nombre de dominio. Más arriba están los artefactos, las herramientas y, en la cima, el comportamiento y la técnica. Lo que está abajo es fácil de detectar y fácil de cambiar; lo que está arriba cuesta más de cambiar, pero también cuesta más de escribir.

Un indicador atómico tiene una virtud real: cuando coincide, casi nunca se equivoca. Y un defecto igual de real: basta cambiar un solo byte del archivo, usar otra dirección o registrar otro dominio para que el mismo valor deje de aparecer. Por eso su vida en el catálogo se mide en semanas o meses, no en años.

Abre las tablas. indicadores trae diez valores del boletín con la fecha en que entraron y las veces que cada uno hizo saltar la regla; estado_en_la_fuente dice qué afirma hoy el emisor del boletín. Antes de decidir nada sobre la lista entera, conviene saber si alguno justifica haber entrado.

Un indicador sin un solo disparo no demuestra que sea inútil: quizá la conducta que vigila no ha vuelto a ocurrir. Pero tampoco demuestra nada a favor, y cada uno cuesta almacenamiento, comparaciones y una fila más que revisar en cada auditoría del catálogo. Cuéntalos para saber de qué tamaño es el problema.

La vida útil de un indicador se puede aproximar con el tiempo que pasó entre que entró al catálogo y la última vez que sirvió para algo. Es una medida pobre, pero es una medida: sirve para comparar tipos de indicador y para fijar una caducidad con datos propios en lugar de adivinarla.

Hoy el catálogo no tiene caducidad definida para ninguno de estos valores. El emisor del boletín ya ha marcado varios como retirados; otros no tienen aviso, y solo uno sigue dado por activo. Cargar valores y olvidarlos es la forma más común de que un catálogo se llene de reglas que ya no miran nada.