La pirámide del dolor y la vida útil de un indicador

La pirámide del dolor, de David Bianco (2013), ordena lo que un defensor puede detectar según cuánto le cuesta al adversario cambiarlo. Abajo están los resúmenes (hash) de archivo, las direcciones IP y los nombres de dominio: cambiarlos es de trivial a simple. Más arriba, los rastros de red o de equipo y las herramientas. En la cima, las tácticas, técnicas y procedimientos: la conducta.

Lo que se detecta arriba dura más y es más difícil de esquivar, pero también es más difícil de escribir y de verificar. Abajo se detecta con una búsqueda exacta, rápido y sin ambigüedad, y deja de servir pronto. Las dos cosas valen; lo que no vale es confundirlas.

En la consola, piramide explica cada nivel y indicadores_caso trae los cinco indicadores del caso con su tipo. Para ubicarlos, se mira el tipo y no el valor: un dominio es un dominio aunque su nombre suene a empresa de transporte.

Los indicadores de la base de la pirámide son los que más rápido caducan, y el caso lo muestra: el adversario cambia de archivo en cuanto lo ve. Una vida útil corta no hace malo al indicador; hace que sirva para buscar hacia atrás en la telemetría y poco para bloquear hacia adelante.

La vida útil observada es la diferencia entre la primera y la última vez que un indicador apareció. Se calcula con las fechas de la tabla. Es una medida del caso, no una garantía: un indicador que dejó de verse no está «muerto», solo dejó de aparecer en lo que se mira.

El dominio dejó de resolver hace días y sigue en la lista de bloqueo del cortafuegos. Las listas de bloqueo crecen y rara vez se limpian; con el tiempo, un valor que fue de un adversario puede pasar a un tercero inocente, o simplemente ocupar espacio y ruido. Cada indicador debería llevar fecha de revisión.