STANNET LAB / DEFENSA DIGITAL
Analiza señales, revisa evidencias y construye reglas.
Sentinel es un laboratorio defensivo de análisis estático. Permite revisar un archivo antes de abrirlo para observar señales técnicas como su hash SHA-256, tipo, entropía, cadenas, indicadores y coincidencias con reglas YARA-X.
Usos prácticos: hacer una primera revisión de un archivo descargado o recibido, aprender cómo funciona el análisis defensivo y practicar la creación y validación de reglas YARA-X.
Importante: Sentinel no sustituye a un antivirus ni garantiza que un archivo sea seguro. No ejecuta el archivo y sus resultados deben interpretarse como señales para investigar, no como un veredicto definitivo.
APRENDER MIENTRAS ANALIZAS
Sentinel no pretende darte solo un resultado: la idea es que entiendas qué significa cada señal y cómo encaja en un análisis defensivo real.
Un hash es una huella digital calculada a partir del contenido de un archivo. Si cambia un solo byte, normalmente cambia también el hash.
archivo.exe → 9f86d081...¿Para qué sirve? Para identificar archivos, comparar muestras, comprobar integridad y buscar una muestra conocida en otras herramientas.
Ojo: dos archivos con nombres distintos pueden ser idénticos si comparten el mismo hash.
SHA-256 es una función hash criptográfica que genera una huella de 256 bits, normalmente representada como 64 caracteres hexadecimales.
SHA-256 = identificador técnico del archivo analizadoEs muy usada en ciberseguridad para IOC, listas de reputación, análisis forense y verificación de descargas.
No detecta malware por sí sola: solo identifica el contenido.
YARA permite escribir reglas que buscan patrones dentro de archivos: textos, bytes, estructuras o combinaciones de señales.
si aparecen A + B + C → marcar para revisiónYARA-X es una implementación moderna del motor YARA. Sentinel la ejecuta localmente para comprobar si un archivo coincide con reglas defensivas.
Una coincidencia no significa automáticamente malware: una regla puede producir falsos positivos y siempre necesita contexto.
La entropía mide cuán predecibles o aleatorios parecen los bytes de un archivo. En análisis de malware ayuda a detectar contenido comprimido, cifrado u ofuscado.
Valores altos pueden aparecer en malware empaquetado, pero también en ZIP, imágenes, vídeo o archivos cifrados legítimos.
Conclusión: entropía alta es una señal para investigar, no una condena.
Las strings son cadenas de texto legibles extraídas de los bytes de un archivo sin ejecutarlo.
URLs · comandos · rutas · nombres de DLL · mensajesAyudan a entender qué podría hacer un programa y sirven para crear reglas YARA, pero una string aislada rara vez demuestra comportamiento malicioso.
Un IOC es un dato observable relacionado con una posible actividad maliciosa: hash, dominio, IP, URL, nombre de archivo o ruta, entre otros.
Sentinel extrae algunos indicadores del contenido, pero no consulta reputación externa. Que aparezca una IP o URL solo significa que existe esa cadena en el archivo.
Consiste en estudiar un archivo sin ejecutarlo. Puedes observar hashes, cabeceras, strings, reglas YARA, metadatos y estructura.
Es una primera capa segura y muy útil, pero no muestra todo. Para estudiar comportamiento real se utilizan entornos controlados o sandboxes.
Es una detección que parece sospechosa pero corresponde a software legítimo. Sucede cuando una regla o heurística coincide con una señal que también aparece en programas normales.
Por eso un analista combina varias evidencias antes de llegar a una conclusión.
Las cadenas pueden aparecer en software legítimo. Cada coincidencia requiere contexto.
No se consultan dominios, IP ni URLs en Internet.
Selecciona entre 1 y 8 cadenas de 5 a 128 caracteres. El borrador tendrá puntuación 0 hasta que lo evalúes; una sola muestra no demuestra generalización.
Las propuestas no se activan automáticamente.
Hasta 25 versiones, durante 30 días en este navegador. Guardar una versión conserva su código y su hash; no la activa.
Seis fixtures de texto propios, benignos e inertes. Las expectativas corresponden al conjunto inicial; las propuestas muestran coincidencias sin una métrica de eficacia antivirus.
Solo se guarda un informe cuando pulsas «Guardar informe local». Se conservan hasta 50 durante 30 días; sin bytes del archivo ni strings. Los informes sí contienen nombres, hashes, indicadores y metadatos. Eliminar un registro lo borra de esta biblioteca; las descargas previas permanecen en tu dispositivo.
Sentinel usa el motor real YARA-X WebAssembly dentro de un Web Worker. Descarga el motor desde esta web; no sube los archivos. El worker se termina al finalizar, cancelar, fallar o superar su tiempo de trabajo. Esto no equivale a una sandbox de ejecución ni garantiza un límite de memoria del navegador.
Los análisis son estáticos. Las cabeceras PE/ELF se comprueban con límites y se extraen secciones; esta versión web todavía no analiza imports, firmas digitales, reputación externa ni comportamiento en sandbox. Las firmas PDF, PNG, JPEG y ZIP son candidatas, sin validación profunda del contenido. La puntuación es heurística educativa. Sin coincidencias no significa seguro.
Reglas experimentales, corpus malicioso validado, colaboración, almacenamiento en servidor e IA remota no forman parte de esta versión pública. La biblioteca e historial son locales; no se sincronizan entre dispositivos.
Licencia BSD-3-Clause de YARA-X · Proyecto oficial del motor