Cómo interpretar los resultados de IOC Lookup — qué significa un registro (o la ausencia de registro)

Respuesta primero

Una consulta de IOC devuelve solo dos hechos: si existe un registro y cómo está cualificado ese registro. Coincidencia ≠ malicioso. Ausencia de registro ≠ seguro.

1. Qué significa un resultado coincidente

Una coincidencia significa que OpenTrojan ha visto este indicador en al menos un registro — un informe de malware, una página de campaña, un aviso de CVE o un aviso de proveedor — y lo vincula a entidades relacionadas (familia de malware, actor, campaña). Usa las entidades vinculadas para orientarte: quién, qué y dónde se ha observado el indicador.

2. Qué NO significa un resultado coincidente

Una coincidencia no prueba que el indicador esté activo en tu entorno, no prueba que ningún host esté comprometido y no prueba la atribución. Es un punto de partida para la recopilación, la correlación y la investigación — no una conclusión.

3. Qué significa “no se ha encontrado inteligencia verificada”

El indicador no tiene registro en OpenTrojan. Eso es una declaración de cobertura, no una declaración de seguridad:

• El indicador puede ser nuevo, breve o de nicho.
• Tu organización puede ser la única que lo ha visto — es exactamente entonces cuando investigas.
• Nunca digas a un usuario “está limpio” porque una consulta no devolvió nada.

4. Falsos positivos y falsos negativos

• Falso positivo: un dominio reutilizado por servicios maliciosos y benignos, una IP en un rango de hosting compartido, o un hash que coincide por casualidad con un registro de otra muestra. Comprueba la descripción de la entidad y las referencias antes de actuar.
• Falso negativo: un indicador nuevo, una lista de bloqueo lenta, o un dominio que estaba limpio en el momento del registro. La actualidad importa: comprueba la marca de tiempo observada del registro.

5. Confianza y calidad de la fuente

Cada registro tiene procedencia (fuente) y confianza. Prefiere los registros de avisos de proveedores, CISA y análisis de malware de primera mano. Trata los registros vistos pasivamente como pistas, no como pruebas. Si la confianza es baja, recopila más evidencia antes de actuar.

6. Cuándo investigar

Escala cuando el indicador: aparece en un registro o correo que ya estás triando, está correlacionado con una segunda señal independiente, o está directamente relacionado con una familia/campaña confirmada. Un hallazgo no relacionado es una pista; dos hallazgos independientes construyen un caso.

7. Siguientes pasos

• Mantén el valor neutralizado y la URL del registro en tus notas.
• Correlaciona el indicador con los registros (proxy, DNS, correo) de tu entorno.
• Inicia una investigación para hacer seguimiento de la correlación y las conclusiones.
• Re-comprueba más tarde — los indicadores cambian con el tiempo.

8. Herramientas que ayudan

• IOC Lookup — normaliza, neutraliza y comprueba indicadores.
• Hash Checker — confirma el tipo de hash antes de la consulta.
• Comprobador de reputación de URL — registros de dominio/URL cuando el IOC es una URL.
• Espacio de trabajo de investigación — registra la evidencia y el veredicto.