El caso de la planta Cerezal

Cada fuente escribe la hora en su zona, y un informe que mezcla zonas ordena mal los hechos y los cruza con los de otras organizaciones a horas que no son. Antes de copiar una hora se mira en qué zona la escribió su fuente y en cuál se escribe el destino; en una zona sin horario de verano, la diferencia es la misma todo el año.

Una regla de red con cero alertas puede significar que nada pasó o que el sensor no puede ver lo que la regla busca. Las dos cosas se ven igual en el panel. Lo que las separa es comparar lo que mira cada palabra clave con lo que de verdad llega al punto donde está el sensor.

Una regla YARA se juzga por dos cifras a la vez: cuánto de la familia encuentra y cuánto de lo limpio marca por error. Una regla que no se equivoca nunca pero encuentra poco se puede desplegar sin miedo, aunque haya que saber cuánto deja fuera; otra que encuentra más pero se equivoca en los archivos propios necesita afinarse antes.

Un flujo de triaje suma pesos y decide solo por encima de un umbral. Si suma dos veces la misma fuente, o cuenta como confirmación lo que es un eco, el puntaje sube sin que haya más evidencia, y el bloqueo automático sale de un número inflado. Rehacer la cuenta con los pesos de la casa es la forma de saber si la decisión era de la máquina o de una persona.

Una lista de indicadores solo alerta desde el día en que se carga. Lo que pasó antes queda en los registros, pero ninguna regla de coincidencia lo vio. Por eso, cuando llega un boletín, se busca hacia atrás en los registros propios: el puesto que habló con el adversario antes de que nadie lo supiera es el que más tiempo lleva expuesto.