Leer un grafo de conocimiento

Un grafo se lee por caminos: de un nodo a otro, arista por arista, leyendo cada una como frase. Del indicador se pasa a lo que indica; de la campaña, a quién se atribuye. Cada salto añade una afirmación y cada afirmación tiene su propia fuente y su propia confianza, así que un camino largo es tan sólido como su arista más débil.

Parte del indicador del dominio de recibos y sigue las aristas que salen de él.

En una vista de grafo, dos grupos de nodos sin relación pueden quedar unidos por un solo nodo que ambos tocan. Si ese nodo es un servidor de alojamiento compartido, un servicio de nombres o una dirección de una red de distribución de contenidos, lo comparten cientos de sitios que no tienen nada que ver entre sí. La vista solo enseña lo que se pidió; el grado del nodo en toda la plataforma dice cuánta gente ajena pasa por él.

Busca el nodo por el que se tocan las dos campañas y mira su grado.

Una línea en el grafo no dice cuándo. Dos dominios que resolvieron a la misma dirección parecen hermanos, pero si uno lo hizo en primavera y el otro en noviembre, entre medias la dirección pudo cambiar de dueño varias veces. Por eso las aristas llevan inicio y fin, y por eso la plataforma, al reconocer dos relaciones como la misma, compara también sus fechas.

Mira las dos aristas resolves-to que llegan a la dirección compartida.

Con el camino, el grado y las fechas a la vista, toca contestar la pregunta del principio. Lo que une a los dos conjuntos de intrusión en la vista son dos cosas: la dirección compartida y una arista uses hacia la misma familia de malware. Antes de responder, mira de qué fuente viene y con qué confianza cada una.

La arista que hace a ARRENDAJO usuario de CuarzoNegro es la única que une a los dos conjuntos por su herramienta. Si alguien la cita en un informe, tiene que poder decir de dónde salió.