Del hallazgo forense a una regla

De un informe salen observables de dos familias. Los indicadores concretos (una huella de archivo, una dirección, un nombre de archivo) son baratos de cambiar para quien ataca: con otra compilación o otro servidor, el indicador ya no sirve. El comportamiento (qué hace el actor y con qué mecanismo) es más caro de cambiar porque es lo que le permite lograr su objetivo.

Una regla basada en un indicador sirve para buscar hacia atrás, pero envejece rápido. Una regla basada en comportamiento sirve más tiempo, aunque suele generar más falsos positivos y pide más ajuste.

Abre la estación y lee observables.csv: cada fila trae el tipo y la estabilidad estimada. Un buen punto de partida es el observable de estabilidad alta, el que describe una conducta. Los de estabilidad baja se guardan como indicadores, no como núcleo de la regla.

Una regla solo funciona si el evento que necesita existe. El comportamiento elegido es la creación de una tarea programada. En fuentes-disponibles.csv está la lista de eventos que la empresa ya recoge, con su descripción. Busca el que corresponde y comprueba que se recoge en los equipos del caso.

Abre borrador-de-regla.yml: tiene vacíos status y level. Nace de un solo caso y sin pruebas con datos de la empresa, así que no puede presentarse como regla probada ni como alarma crítica. Se publica como experimental, con un nivel moderado, y se sube cuando pase las pruebas de la sala 5 y se mida su ruido.