Qué registrar antes de bloquear un programa considerado sospechoso

Identifica el objeto exacto

Guarda nombre, ruta, versión, editor y firma cuando estén disponibles, además de una huella criptográfica obtenida por personal autorizado si la herramienta la proporciona. Relaciona el archivo con el equipo y la alerta original. El nombre por sí solo es insuficiente: dos archivos distintos pueden llamarse igual. Tampoco una firma válida o una huella conocida de otro archivo resuelven la valoración del programa que tienes delante.

Conserva motivo y contexto de ejecución

Registra origen de descarga o instalación, usuario, momento, proceso que lo inició y actividad observada. Separa detección automática, sospecha del usuario y análisis confirmado. NIST SP 800-61r3 plantea investigar lo sucedido y preservar registros con procedencia. Si hay indicios de incidente, conserva el contexto antes de borrar o reinstalar; no subas el archivo a servicios públicos sin valorar confidencialidad y autorización.

Describe qué bloqueará la regla

Anota el mecanismo propuesto: identidad concreta del archivo, editor, ruta u otro criterio compatible con el producto. Revisa equipos y grupos afectados, posibles dependencias y tratamiento de versiones futuras. Una regla demasiado amplia puede detener software legítimo; una demasiado estrecha puede dejar fuera otras variantes. En App Control para Windows existen reglas y modos con distintos efectos: comprueba los que realmente soportan tus equipos, en lugar de extrapolar una opción a toda la flota.

Fija comprobación y posibilidad de corrección

Nombra autorizador, ejecutor, prueba de bloqueo y persona que revisará efectos sobre el negocio. Si la situación permite un piloto, prueba tanto la denegación esperada como una tarea legítima que deba continuar. Registra resultado y equipos sin confirmación. Cuando se sospeche un falso positivo, tramita su análisis por el canal del fabricante y conserva la decisión; no conviertas la presión operativa en una excepción permanente sin revisión. El expediente debe explicar por qué se bloqueó y qué evidencia permitiría cambiar esa decisión.

Fuentes y documentación

• Microsoft Learn · App Control: reglas y modos — Identificación de reglas, auditoría y aplicación; capacidades según versión.
• NIST · SP 800-61 Rev. 3 — Análisis, documentación y procedencia del contexto de incidentes.