Qué contiene un informe de comportamiento

Un informe de comportamiento mezcla dos clases de dato. La observación es lo que el entorno registró: procesos que arrancaron, archivos que se escribieron, claves del registro, consultas de nombres y peticiones de red, cada una con su segundo. La interpretación es lo que el servicio concluye sobre esa observación: las firmas que se activaron, una puntuación que las suma, una etiqueta de familia y una lista de técnicas sugeridas.

Las dos son útiles, pero no valen lo mismo. Una observación se puede comprobar en la tabla del propio informe; una interpretación depende de reglas del servicio que el lector casi nunca ve. Para compartir inteligencia con otros conviene citar primero lo observado y presentar lo interpretado como lo que es: la opinión de una herramienta. Abre la portada con cat RC-4011.txt en la carpeta de inicio.

Cuando un informe dice el nombre de una familia, la pregunta del analista es quién lo dijo y con qué. Puede venir de una regla que reconoce rasgos en un archivo o en la memoria de un proceso, de un antivirus, o de un analista que lo revisó. Cada origen merece una confianza distinta, y la nota que se comparte debe decirlo: «el servicio X la etiqueta como Y por la firma Z» es una frase que otro equipo puede evaluar; «es Y» no lo es.

En RC-4011 la etiqueta no sale del archivo de la muestra, sino de otro sitio que la portada nombra.

La portada de un informe trae la configuración de la ejecución: la imagen base (qué sistema y qué programas tenía la máquina), cuánto duró y, sobre todo, cómo estaba la red. Hay servicios que dejan salir el tráfico por un camino controlado, otros que lo contestan con un simulador y otros que ejecutan sin red. Cada opción cambia lo que el informe puede mostrar: una muestra que necesita descargar algo no avanzará igual en los tres casos.

Por eso, antes de comparar lo que hicieron dos ejecuciones, se compara cómo estaban montadas. Lee cat RC-4012.txt, el informe que llegó de la mesa de intercambio del sector cooperativo.

Los dos informes son de la misma huella, pero RC-4011 registra ocho procesos nuevos, tres archivos y peticiones de red, y RC-4012 se queda en cuatro procesos, un archivo y nada de red, con una puntuación más baja y sin etiqueta. Un lector apurado concluiría que son dos muestras o que una de las dos ejecuciones salió mal. Compara las dos portadas línea por línea antes de decidir.