El boletín de la Red Fabril

La técnica de acceso por correo se elige por cómo viaja el contenido dañino, no por el asunto ni por quién parece enviarlo. Bajar a una subtécnica exige que el texto describa el mecanismo; quedarse en el padre cuando el texto sí lo describe pierde detalle que la detección necesita, y elegir la subtécnica equivocada manda a vigilar el registro que no es.

Un informe mezcla lo que su autor vio con lo que deduce. Lo observado entra al mapa como evidencia explícita; lo que el autor supone puede entrar, pero marcado como inferido y con confianza baja, porque nadie lo comprobó. Si lo supuesto se cuela como observado, la capa de la campaña pinta un comportamiento que quizá nunca ocurrió y alguien gastará horas en cubrirlo.

Un párrafo puede sostener varias técnicas o ninguna. Las direcciones y los dominios se guardan como indicadores, el nombre de una herramienta instalada no cuenta como conducta y lo que le pasó a la víctima después no es una acción del adversario. Contar bien importa porque ese número llega a la jefatura como el tamaño de la campaña.

Superponer la capa de la campaña sobre la capa de cobertura propia muestra lo que el adversario hizo y nadie vigila. Ese cruce solo vale si la capa de la campaña está limpia: un mapeo equivocado esconde un punto ciego de verdad o inventa uno falso. Lo inferido no se lleva a la reunión como punto ciego, porque no consta que haya pasado.