La dependencia de la entropía como indicador principal en ciberseguridad ha mostrado fisuras evidentes en escenarios reales. Mientras que los sistemas tradicionales miden la aleatoriedad de cadenas para identificar amenazas, los atacantes han evolucionado hacia técnicas que eluden este filtro de forma sistemática. En esta segunda parte exploramos tres fallos concretos donde la entropía no aporta valor real y proponemos alternativas basadas en contexto y comportamiento, un enfoque que aplicamos en Q2BSTUDIO al diseñar aplicaciones a medida con capacidades de detección avanzada.
El primer caso crítico es la comunicación de comandos y control (C2) sobre TLS. Frameworks como Cobalt Strike generan tráfico HTTPS aparentemente legítimo con certificados válidos y nombres de servidor plausibles. Un análisis de entropía sobre el SNI o el nombre común del certificado no distingue entre una actualización legítima de Microsoft y un dominio malicioso recién registrado. La señal efectiva no está en la cadena, sino en los detalles del apretón de manos TLS: la huella JA4 del ClientHello, la antigüedad del certificado y la periodicidad de las conexiones. Estos datos de sesión se analizan con técnicas de inteligencia artificial para crear líneas base de comportamiento, un área donde nuestras soluciones de ciberseguridad integran modelos de machine learning entrenados sobre tráfico de red real, tal como se describe en nuestro servicio de pentesting y ciberseguridad.
El segundo punto débil es la ofuscación con herramientas legítimas del sistema, conocida como living-off-the-land. Un comando PowerShell con alta entropía puede ser tanto un script malicioso como una tarea administrativa legítima que maneja datos binarios. Los analistas que confían solo en la aleatoriedad del comando terminan con ruido inmanejable. La verdadera detección reside en la genealogía de procesos: una instancia de Office que lanza PowerShell es anómala; un servicio del sistema que ejecuta whoami es sospechoso. Estas cadenas de herencia se modelan mejor con reglas basadas en eventos del sistema como Sysmon, evitando cualquier cálculo de entropía. En proyectos de software a medida para empresas, hemos integrado este tipo de lógica directamente en los sensores de endpoint, reduciendo falsos positivos sin depender de umbrales arbitrarios.
El tercer escenario habitual es la exfiltración en la nube. Las claves de objetos S3 con alta entropía (UUID, hashes) son completamente normales en arquitecturas cloud modernas. Un detector que se active solo por la aleatoriedad de las claves generará alertas constantes sobre operaciones legítimas de infraestructura. La señal relevante es el comportamiento del principal: quién llama a GetObject, desde qué IP, a qué velocidad y contra qué buckets. Un rol IAM recién creado que accede a datos sensibles, o una instancia EC2 que se desvía de su patrón habitual, son indicadores mucho más fiables. Para implementar estas detecciones es necesario contar con servicios cloud aws y azure que permitan centralizar logs y aplicar análisis de desviación de línea base, algo que ofrecemos como parte de nuestras soluciones de infraestructura y monitorización.
En todos estos casos, la entropía mide una propiedad de la cadena, mientras que el ataque es una propiedad del contexto: quién ejecuta, cómo se comporta la sesión y cómo se desvía de lo normal. Combinar semántica de protocolo con líneas base conductuales es el camino hacia detecciones robustas. En Q2BSTUDIO aplicamos este principio no solo en ciberseguridad, sino también en servicios inteligencia de negocio y power bi, donde el análisis contextual permite identificar anomalías en datos empresariales. Además, nuestras ia para empresas y agentes IA se entrenan con modelos de comportamiento que trascienden la simple aleatoriedad, ofreciendo protección adaptativa en entornos dinámicos.
La conclusión es clara: abandonar la entropía como ancla no significa perder capacidad de detección, sino ganar precisión al enfocarse en lo que realmente importa. Las alternativas existen, son medibles y están al alcance de cualquier organización que adopte un enfoque basado en contexto y comportamiento. En los próximos artículos exploraremos cómo implementar estos patrones de detección utilizando herramientas como Zeek, Sysmon y plataformas de orquestación, un camino que ya recorremos en nuestros desarrollos de aplicaciones a medida para sectores críticos.
