Falsos positivos al escalar la búsqueda

Una coincidencia por nombre es una hipótesis, no un hallazgo. Para separar lo malicioso de lo legítimo se mira un segundo atributo independiente del que se usó para buscar. Si buscaste por el nombre del archivo, no lo confirmes con el nombre: míralo por su firma digital, su hash contra el que publica el proveedor, el proceso que lo lanzó y desde cuándo está en el equipo. Dos atributos que coinciden por casualidad son raros; uno solo no distingue nada.

La regla práctica: antes de escalar una coincidencia, hay que poder escribir qué segundo dato la sostiene.

El proveedor del programa legítimo lo instala en C:\Program Files\PlanosNaval\ y publica su firma y su hash. Un filtro por esa carpeta descarta la mayoría de las doce filas, y se siente prudente. Pero la carpeta es el atributo más fácil de imitar: un archivo reemplazado en el lugar donde vive el legítimo conserva la ruta y cambia lo demás.

coincidencias
| where ruta_imagen startswith @"C:\Program Files\PlanosNaval"

referencia_proveedor

Compara cada fila que sobrevive al filtro con la referencia del proveedor. Hay una cuya ruta es la legítima y cuyo contenido no lo es.

Un descarte vale lo que valga su evidencia. Un equipo queda como falso positivo cuando varios atributos coinciden con lo que declara el proveedor a la vez: la ruta de instalación, la firma, el hash y un proceso padre propio de un servicio instalado. Si falla uno, deja de ser un descarte limpio y vuelve a la lista.

coincidencias
| summarize equipos = count() by hash_prefijo

Aplica los cuatro criterios a las doce filas y cuenta cuántas los cumplen todos. Ese número es el de falsos positivos descartados con evidencia; el resto se escala.

Cada descarte es una decisión que otro puede querer revisar mañana, cuando aparezca un dato nuevo. Por eso no se borran las filas descartadas: se anota para cada una qué se comparó, contra qué y qué dio. El registro se puede reabrir con un dato nuevo sin repetir la caza.

Escalar todo «por si acaso» tiene su precio: cada puesto cortado sin motivo gasta confianza del resto de la empresa y tiempo del equipo, y el próximo aviso se atiende con menos ganas. Descartar sin dejar constancia tiene el contrario: nadie puede defender el descarte cuando lo cuestionen.