Indicadores útiles y ruido del entorno

Una ejecución en blanco es correr la misma imagen base, el mismo tiempo, sin muestra. Todo lo que aparece en ella lo produce la máquina sola: actualizaciones, comprobación de certificados, telemetría, indexado. Restar la ejecución en blanco del informe es el primer filtro antes de compartir indicadores, y conviene hacerlo con la imagen exacta del informe, porque dos imágenes distintas hacen ruidos distintos.

El filtro tiene un límite que hay que conocer: que algo aparezca en blanco no prueba que la muestra no lo usara también. Para la lista de indicadores de una familia, sin embargo, la regla es sencilla: lo que genera la imagen no describe a la familia.

El ruido del entorno tiene tres orígenes. La imagen: lo que está en la ejecución en blanco. El simulador: cuando la red está simulada, la dirección que devuelve a cualquier nombre y el archivo de relleno que entrega a cualquier descarga no son del adversario. Y la configuración del laboratorio: el nombre del equipo de análisis o el del usuario de la imagen, que la muestra puede leer y enviar, pero que describen la máquina, no a la familia.

Consulta SELECT * FROM candidatos, SELECT * FROM linea_base y SELECT * FROM entorno, y marca cada candidato que salga de alguno de los tres orígenes.

Quitar el ruido no deja solo indicadores que se pueden bloquear. Los adversarios alojan descargas en servicios legítimos de archivos, de código o de documentos, porque su dominio pasa los filtros. Ese dominio es actividad real de la muestra, y aun así bloquearlo entero cortaría el trabajo de la organización. Antes de proponer un bloqueo se cruza la lista con la de permitidos: SELECT * FROM permitidos.

Muchas muestras envían en su primera petición datos del equipo donde corren. En un informe, esos datos son los del laboratorio. Si llegan a una regla compartida, la regla buscará en la red de otros un nombre de equipo que solo existe en el servicio de análisis, y nunca disparará. Revisa los candidatos que no son dominios ni direcciones.

El servicio de archivos compartidos que usó RC-4013 no se puede bloquear, pero tampoco se puede ignorar: es por donde la familia entregó su biblioteca. La salida está en bajar de nivel: lo que la muestra pidió no fue el dominio, sino una ruta concreta dentro de él.