{
  "processes": {
    "svchost.exe": {
      "label": "Host de servicios Windows",
      "explain": "Contenedor legítimo de Microsoft. Varios servicios del sistema comparten procesos svchost. Un malware puede llamarse svchost.exe pero desde rutas NO-Windows — revisa siempre la ruta completa.",
      "legitPathPrefix": ["C:\\Windows\\System32\\", "C:\\Windows\\SysWOW64\\"],
      "spoofRisk": "high"
    },
    "lsass.exe": {
      "label": "Local Security Authority",
      "explain": "Autenticación Windows (credenciales, políticas). Solo legítimo en C:\\Windows\\System32\\lsass.exe. Nunca debe matarse.",
      "legitPathPrefix": ["C:\\Windows\\System32\\lsass.exe"],
      "spoofRisk": "critical"
    },
    "services.exe": {
      "label": "Service Control Manager",
      "explain": "Gestor de servicios Windows. Legítimo solo en System32.",
      "legitPathPrefix": ["C:\\Windows\\System32\\services.exe"],
      "spoofRisk": "critical"
    },
    "wininit.exe": {
      "label": "Windows Initialization",
      "explain": "Proceso de arranque del sistema. Solo System32.",
      "legitPathPrefix": ["C:\\Windows\\System32\\wininit.exe"],
      "spoofRisk": "critical"
    },
    "System": {
      "label": "Kernel NT (PID 4)",
      "explain": "No es un .exe de usuario — representa el kernel/sistema operativo escuchando en ciertos puertos (HTTP.sys, etc.).",
      "spoofRisk": "none"
    },
    "com.docker.backend.exe": {
      "label": "Docker Desktop backend",
      "explain": "Motor Docker en Windows. Expone puertos de contenedores (Ollama 11434, etc.) vía NAT. Controlado por ti.",
      "legitPathPrefix": ["C:\\Program Files\\Docker\\"],
      "spoofRisk": "low"
    },
    "tailscaled.exe": {
      "label": "Tailscale VPN",
      "explain": "Red mesh VPN para acceso remoto seguro (iPhone → PC). Puertos dinámicos normales.",
      "legitPathPrefix": ["C:\\Program Files\\Tailscale\\"],
      "spoofRisk": "low"
    },
    "AnyDesk.exe": {
      "label": "AnyDesk remoto",
      "explain": "Acceso remoto al PC. Puertos 7070 y aleatorios altos. Superficie de ataque si contraseña débil — mantener 2FA y lista blanca.",
      "legitPathPrefix": ["C:\\Program Files\\AnyDesk\\", "C:\\Program Files (x86)\\AnyDesk\\"],
      "spoofRisk": "medium"
    },
    "wslrelay.exe": {
      "label": "WSL / Docker relay",
      "explain": "Puente de red entre Windows y subsistema Linux (Docker/WSL). Normal con Docker Desktop.",
      "spoofRisk": "low"
    },
    "endpointprotection.exe": {
      "label": "Avira Endpoint Protection",
      "explain": "Componente del antivirus Avira instalado en el PC.",
      "spoofRisk": "low"
    },
    "httpd.exe": {
      "label": "Apache (XAMPP)",
      "explain": "Servidor web local XAMPP — xzonassite y proyectos htdocs.",
      "legitPathPrefix": ["C:\\xampp\\"],
      "spoofRisk": "low"
    },
    "mysqld.exe": {
      "label": "MySQL (XAMPP)",
      "explain": "Base de datos local XAMPP.",
      "legitPathPrefix": ["C:\\xampp\\"],
      "spoofRisk": "low"
    },
    "node.exe": {
      "label": "Node.js",
      "explain": "Runtime JS. Legítimo para Cursor Bridge (8095), PM2, herramientas dev. Revisa ruta si desconocido.",
      "spoofRisk": "medium"
    },
    "python.exe": {
      "label": "Python",
      "explain": "Intérprete Python — puede ser Serena, scripts dev, ML. Revisa ruta y puerto.",
      "spoofRisk": "medium"
    },
    "CodeSetup-stable-3.8.11.exe": {
      "label": "Instalador VS Code/Cursor",
      "explain": "FALSO POSITIVO habitual: instalador/actualizador en Temp durante update de Cursor/VS Code. Desaparece al terminar.",
      "spoofRisk": "none",
      "whitelistTemp": true
    }
  },
  "ports": {
    "8095": { "service": "Cursor Mobile Bridge", "tier": "trusted", "explain": "Puente agente móvil — Tailscale/LAN" },
    "11434": { "service": "Ollama (Docker)", "tier": "trusted", "explain": "API LLM local — expuesta vía Docker backend" },
    "7070": { "service": "AnyDesk", "tier": "monitored", "explain": "Escucha AnyDesk para conexiones entrantes" },
    "3306": { "service": "MySQL XAMPP", "tier": "trusted", "explain": "BD local — no debería estar expuesta a internet" },
    "80": { "service": "Apache HTTP", "tier": "trusted", "explain": "Web local XAMPP" },
    "443": { "service": "HTTPS", "tier": "trusted", "explain": "Tráfico web cifrado" },
    "135": { "service": "RPC Windows", "tier": "system", "explain": "Remote Procedure Call — normal en Windows, bloqueado desde internet por firewall" },
    "445": { "service": "SMB", "tier": "system", "explain": "Compartir archivos Windows — crítico si expuesto a WAN" },
    "5357": { "service": "WSDAPI", "tier": "system", "explain": "Descubrimiento dispositivos red local" },
    "3030": { "service": "Docker/WSL relay", "tier": "monitored", "explain": "Contenedor o relay Docker" },
    "6334": { "service": "Docker (posible Qdrant/DB)", "tier": "monitored", "explain": "Puerto mapeado contenedor Docker — verificar en Docker Desktop" },
    "7700": { "service": "Docker mapeado", "tier": "monitored", "explain": "Revisar contenedor en Docker Desktop" },
    "8787": { "service": "Docker/WSL", "tier": "monitored", "explain": "Relay o contenedor" },
    "9002": { "service": "Docker mapeado", "tier": "monitored", "explain": "Contenedor — identificar en docker ps" },
    "9090": { "service": "Docker (Prometheus?)", "tier": "monitored", "explain": "Suele ser métricas — verificar contenedor" },
    "9443": { "service": "Docker HTTPS", "tier": "monitored", "explain": "API TLS contenedor" },
    "16686": { "service": "Jaeger UI (Docker)", "tier": "monitored", "explain": "Trazas distribuidas — típico stack observabilidad" },
    "24282": { "service": "Serena MCP (xzonassite)", "tier": "trusted", "explain": "Servidor MCP Serena lanzado por Cursor — solo 127.0.0.1, proyecto xzonassite" },
    "8090": { "service": "ALimpiezas AI Service", "tier": "trusted", "explain": "Microservicio FastAPI OCR/voz de ALimpiezas (uvicorn main:app)" },
    "3001": { "service": "Grafana (xzonas-grafana)", "tier": "monitored", "explain": "Dashboards métricas stack xzonas — contenedor Docker" },
    "3100": { "service": "Langfuse (xzonas-langfuse)", "tier": "monitored", "explain": "Observabilidad LLM — contenedor Docker" },
    "4317": { "service": "Jaeger OTLP (xzonas-jaeger)", "tier": "monitored", "explain": "Trazas OpenTelemetry — contenedor Docker" },
    "6333": { "service": "Qdrant HTTP (xzonas-qdrant)", "tier": "monitored", "explain": "Vector DB — contenedor Docker" },
  },
  "tempWhitelistPatterns": [
    "CodeSetup",
    "vscode-stable",
    "VSCodeSetup",
    "CursorSetup",
    "DockerDesktopInstaller"
  ]
}