Cuándo caduca un indicador de infraestructura

Cada tipo de indicador envejece a su ritmo. Una dirección se reasigna, se alquila por horas y rota con rapidez; un correo de registro cambia rara vez. Si un indicador sigue en la lista de bloqueo cuando ya no describe nada, deja de proteger y empieza a hacer daño: bloquea a la persona que heredó esa dirección, genera alertas que nadie atiende y hace creer que la lista está al día.

La caducidad no es un dato de la fuente: es una política de quien defiende, y se cuenta desde el último avistamiento, no desde que el indicador entró a la lista. Los plazos concretos son decisión del SOC y se pueden discutir; lo que no se puede es no tenerlos.

Abre la consola. politica dice cuánto vale cada tipo de indicador desde su último avistamiento, y lista_de_bloqueo trae cada indicador con esa fecha. Es una política propia del laboratorio, no una norma. La dirección del servidor dedicado del clúster, 203.0.113.106, sigue en la lista: con su vigencia de dirección, calcula el día a partir del cual deja de estar respaldada.

Hoy es 2 de noviembre. Recorre la lista aplicando a cada indicador su vigencia: casi todos están respaldados, pero uno de ellos pasó su fecha y debería haber salido de la lista hace semanas. Para una dirección IP, la cuenta es corta: dos semanas desde el último avistamiento.

La vigencia se renueva cuando el indicador se vuelve a ver, y lo que cuenta es el avistamiento más reciente de cualquier fuente fiable, no la fecha que quedó anotada en la lista. En avistamientos, el proxy propio de Pillanco vio hace unos días uno de los dominios de la lista, que figuraba con un último avistamiento mucho más viejo. Con la fecha del avistamiento nuevo y la vigencia de un dominio, calcula cuándo caduca ahora.

Que un indicador caduque no es lo mismo que borrar su historia. Lo que sale de la lista de bloqueo activa debe quedar en el archivo con el motivo, la fecha y el último avistamiento: si el nombre o la dirección reaparece, ese historial dice enseguida que ya se había visto. Y si reaparece, se trata como un avistamiento nuevo con su vigencia, no como una resurrección automática.