Evidencia fuerte y evidencia débil

La fuerza de un lazo se mide por su rareza: cuántos nombres sin relación con el caso comparten ese mismo valor. Un certificado que cubre solo los nombres de una misma petición es raro. Un registrador que usa medio mercado es común. Una dirección de alojamiento compartido es común aunque la veas «solo» en dos nombres, porque detrás hay cientos de clientes que no se conocen.

Para decirlo en una línea: cuanto menos gente ajena comparta el valor, más pesa el lazo. Un valor que comparte toda una clientela, como el correo de contacto de un servicio de privacidad, es casi ruido aunque parezca un dato de la persona.

Abre la consola. lazos_medidos trae seis lazos sobre cuatro pares de dominios, cada uno con el número de dominios ajenos que lo comparten. Hay un correo de contacto que parece un hallazgo, pero la columna «dominios_ajenos_que_lo_comparten» lo desmonta: no es la huella de una persona, es el valor por defecto de un servicio.

Ahora el caso contrario: un par de dominios puede llevar más de un lazo a la vez, y lo que interesa es el par que tiene dos lazos fuertes. Con la consulta por par puedes ver todas las filas de uno. Compara, para cada par, qué lazos lo atan y cuántos ajenos los comparten; el par que busca el analista es el que se sostiene con dos lazos que casi nadie más comparte.

Sumar lazos solo refuerza una agrupación si los lazos son independientes. El registrador y los servidores de nombres parecen dos datos distintos, pero en origen_de_los_lazos ves que uno depende del otro: los servidores de nombres suelen venir por defecto con el registrador. Si alguien compra un dominio en un sitio, tiene en ese sitio las dos cosas sin haber decidido nada dos veces.

Dos lazos débiles que vienen de la misma decisión no suman: valen casi como uno solo, y uno solo débil no sostiene un clúster. En cambio, un certificado y un correo de registro salen de decisiones y de registros distintos.