Dato, indicador e inteligencia

En la plataforma de Ánfora entra una línea nueva: la dirección 198.51.100.23, sin nada al lado. Una dirección sola es un dato: un hecho aislado que no dice si es buena, mala o irrelevante. No se puede actuar sobre ella porque no hay contexto. El mismo valor se vuelve un indicador cuando se le pega el contexto que lo hace útil: «198.51.100.23 fue el destino de un canal de mando visto en un ataque a otra cadena de tiendas la semana pasada». Ahora sí dice algo y se puede buscar en los registros propios.

El error de quien empieza es tratar cualquier dato como si ya fuera accionable. Sin contexto, una IP en una hoja es ruido con forma de pista.

Un analista de Ánfora añade a la dirección tres cosas: dónde se vio (canal de mando), en qué ataque (campaña contra retail) y cuándo (hace siete días). Con eso, el dato pasa a ser un indicador de compromiso: algo que, si aparece en tus propios registros, señala que el mismo problema puede estar en tu casa. El contexto es lo que convierte un valor en una pregunta que le puedes hacer a tu red.

Un indicador siempre trae, como mínimo, qué es, dónde se observó y qué comportamiento acompaña. Sin esas tres, sigue siendo un dato con mejor presentación.

Ánfora junta veinte indicadores de la misma campaña y responde con ellos una pregunta del negocio: «este actor ataca cadenas de tiendas por el correo de proveedores; nuestro portal de proveedores es el punto expuesto, y conviene reforzar ese correo antes que nada». Eso ya no es una lista: es inteligencia. La inteligencia se distingue porque contesta a una decisión —qué reforzar, qué buscar, a quién avisar— y no solo enumera valores.

La prueba de que algo es inteligencia y no una lista es simple: ¿alguien puede tomar una decisión con ella? Si solo se puede copiar y pegar en un cortafuegos, todavía son indicadores.

No todos los indicadores valen lo mismo para el defensor. La pirámide del dolor —un marco público— los ordena por lo que le cuesta al adversario cambiarlos cuando los detectas. Abajo, triviales de cambiar: un hash de fichero (recompila y cambia), una IP (rota en un día), un dominio (registra otro). Arriba, caro de cambiar: sus herramientas, y sobre todo sus TTP —su forma de operar—, porque cambiarlas le obliga a reaprender el oficio. Detectar a un actor por su comportamiento le duele; detectarlo por una IP le cuesta un clic.

Ánfora tiene dos opciones de detección para la misma campaña: bloquear la IP del canal de mando, o detectar el patrón de latido periódico que ese canal usa. La segunda sobrevive a que el actor cambie de servidor.

Abre el registro de la plataforma y míralo entero. Una de las líneas es un dato crudo (un valor sin contexto), otra es ya una decisión de negocio, y una sola es el indicador: el valor al que se le pegó qué es, dónde se vio y cuándo. Filtra por esa clase, abre esa única entrada y lee el código de evento que la plataforma le asignó.