Enriquecer un caso sin sobreinterpretar

Cada dato de enriquecimiento tiene una fuente, una fecha del dato y un alcance: lo que afirma y nada más. Una puntuación de reputación dice que alguien más la marcó como sospechosa, no que sea del adversario de este caso. Una fecha de registro dice cuándo se registró el dominio, no quién lo hizo. Y un dato antiguo describe cómo era el mundo en esa fecha.

La regla de oficio es redactar cada afirmación con el verbo que la evidencia sostiene: «se registró», «se observó», «es compatible con». Los verbos fuertes, «es», «pertenece a», «fue», se reservan para lo confirmado.

En la consola, afirmaciones_borrador indica de qué dato cuelga cada afirmación, y enriquecimiento trae esos datos. Una atribución a un grupo exige muchas cosas: infraestructura, herramientas, conducta, coincidencias con casos anteriores. Un blog que lo dice sin mostrar pruebas no es nada de eso.

A veces un enriquecimiento no confirma: matiza. Una IP que alojó más de doscientos dominios distintos en un mes es un alojamiento compartido; que algo malo salga de ella no la convierte en infraestructura propia del adversario, porque también la usan terceros inocentes. Otro dato, de la misma IP, de otra fuente, no cambia eso.

Un dominio registrado muy poco antes del incidente es un patrón frecuente en campañas, pero solo es compatible con ello. Se cuenta con precisión: los días entre el registro y el primer momento en que el dominio apareció en el caso. Es un cálculo con dos fechas de dos tablas distintas.

La afirmación del borrador «el dominio es muy reciente» se apoya en un dato concreto. Para el informe, importan dos cosas: que la frase diga lo que el dato sostiene, y que quede dicho qué falta, para que quien lo lea sepa hasta dónde llega lo investigado.