Ajuste de sensibilidad por tipo de atributo

Los indicadores de red rotan deprisa: una dirección alquilada por horas cambia de dueño en días, y la misma dirección puede pasar a servir a alguien legítimo. Un dominio registrado para una campaña suele durar más, y el nombre de un archivo o una ruta concreta en un servidor pueden durar menos que su dominio. Por eso MISP asocia cada modelo de decaimiento a unos tipos de atributo concretos, y lo sensato es que cada familia de tipos tenga su vida útil y su umbral.

El ajuste no se adivina: se mide. La medida más directa es cuánto tiempo siguen dando avistamientos verdaderos los indicadores de cada tipo, contado desde su alta. Consulta SELECT * FROM tipos_y_modelos y SELECT * FROM vida_observada.

Un modelo solo se aplica a los tipos que tiene asociados. Un tipo que no está en ninguno no recibe puntuación de decaimiento: lo que entra de ese tipo con la marca IDS se queda en la detección hasta que alguien lo quite a mano, y nadie lo quita porque nadie se acuerda de él. Es el hueco más fácil de pasar por alto, porque no da ningún error.

Compara la lista de tipos que el SOC ha medido con la de tipos asociados a algún modelo.

Si la vida útil de un modelo es mucho mayor que el tiempo durante el que los indicadores de ese tipo siguen acertando, la instancia sigue dando por buenos valores que ya cambiaron de manos. Para una dirección de red eso es peligroso: el bloqueo se queda sobre una máquina que ahora puede ser de un cliente o de un proveedor.

La regla de la casa para revisar un modelo es sencilla: si la vida útil configurada pasa del doble de la mediana de días con avistamientos verdaderos, se acorta. Compara las dos cifras tipo por tipo.

Hay otro problema que la vida útil no arregla: tipos cuyos indicadores dan falsos positivos desde el primer día. La proporción de avistamientos falsos sobre el total de avistamientos lo muestra. Si es alta, el valor no se estropea con el tiempo: llega mal, porque la fuente marca nombres compartidos o porque la comparación es demasiado amplia.

Calcula, para cada tipo, avistamientos falsos entre avistamientos totales (verdaderos más falsos).

Cuando un tipo falla desde el primer día, acortar su vida útil solo hace que falle durante menos tiempo. Lo que corrige el problema es actuar sobre la entrada: de qué feeds llegan esos valores, con qué etiqueta de confianza (que baja la puntuación base) y si deben entrar con la marca IDS o quedarse para consulta. Y cualquier cambio se mide otra vez con los mismos datos, para saber si sirvió.