Del párrafo a la técnica, reglas de mapeo

La unidad que se mapea es el comportamiento del adversario que el texto describe: qué hizo, con qué efecto, en qué momento de la intrusión. No se mapea el nombre de una herramienta si el texto no dice qué hizo con ella, ni se mapea una dirección o un dominio, porque eso es un indicador y se guarda como indicador. Tampoco se mapea lo que le pasó a la víctima si el párrafo no describe la acción que lo causó.

Las cinco reglas del cuaderno están en reglas_de_mapeo. Léelas con la consulta SELECT * FROM reglas_de_mapeo: son la lista de comprobación con la que se revisa cada párrafo antes de poner un identificador.

Ahora un párrafo concreto. Consulta SELECT * FROM informe_parrafos WHERE parrafo = 'P1' y lee qué viaja en el correo y de qué forma. En fichas_de_tecnica tienes las técnicas candidatas con su resumen. La diferencia entre dos fichas hermanas suele estar en una sola palabra del texto: cómo llega el contenido dañino a la víctima.

El párrafo P3 cuenta algo sobre cómo se mantiene el programa en el equipo. Léelo con SELECT * FROM informe_parrafos WHERE parrafo = 'P3'. Una ficha de las seis describe exactamente ese mecanismo y la regla R3 te dice hasta dónde bajar: la técnica con su subtécnica solo si el texto la sostiene.

De los seis párrafos, dos no producen ninguna técnica y por motivos distintos. Uno cuenta la consecuencia para la víctima, sin acción descrita (regla R4). El otro solo da una dirección y un dominio de la campaña: son indicadores, y un indicador no es una técnica (regla R2). Los indicadores no se pierden: se guardan aparte para búsqueda y bloqueo, y la técnica sale de los párrafos que cuentan comportamiento.