Señales de automatización en los registros

OWASP mantiene un catálogo de amenazas automatizadas contra aplicaciones web, y una de sus entradas, OAT-011, describe la extracción de contenido: recoger datos de la aplicación, como precios o fichas, para usarlos en otra parte. Cada petición es una lectura legítima; lo que delata la automatización es el patrón del conjunto.

Las señales no valen lo mismo. Algunas las controla por completo quien envía la petición y se cambian con una línea, como el nombre del navegador que se declara en la cabecera del agente de usuario. Otras salen del comportamiento y son más difíciles de disimular: el ritmo (intervalos idénticos, sin las pausas de alguien que lee), el recorrido (identificadores en orden, uno tras otro, en lugar de saltos guiados por lo que interesa), lo que no se pide (una persona en un navegador carga estilos y scripts; un programa que solo quiere datos no) y la continuidad (una misma sesión que cambia de dirección de origen a mitad de camino). Ninguna sola es una prueba; varias juntas, sobre la misma sesión, construyen el caso.

Abre el laboratorio y lee registro-acceso.txt en la carpeta guanenta-senales. Agrupa las líneas por sesión y, para cada una, mira las cuatro señales de comportamiento: el ritmo, el orden de lo que pide, si carga los recursos de la página y si cambia de dirección. Una de las sesiones declara un navegador corriente y, aun así, falla en casi todas.

El intervalo entre peticiones es la señal que mejor se mide en un registro, porque solo hace falta restar horas. Una persona lee, duda, vuelve atrás; sus intervalos son irregulares. Calcula el que separa una petición de la siguiente en la sesión que encontraste.

Hay otra sesión en el registro con ritmo fijo, sin recursos de página y un agente de usuario que ni siquiera finge ser un navegador. Por comportamiento es tan automatizada como la anterior. La diferencia no está en el registro de acceso sino en integraciones-autorizadas.txt: una integración con contrato se reconoce por su cuenta, su clave y su dirección declarada, y tiene una cuota acordada. Automatizado no es sinónimo de abusivo; lo que se busca es lo automatizado que no está autorizado.

Un hallazgo de automatización se escribe con el patrón, no con una dirección: las direcciones cambian, y la sesión que encontraste ya lo hizo dentro del mismo minuto. Se describe qué hace (recorre fichas en orden con precio y existencias), con qué señales se reconoce, qué amenaza del catálogo encaja y qué tráfico parecido queda fuera y por qué. Eso permite al equipo diseñar un freno que no se lleve por delante a la integración con contrato ni a las tiendas.