Clasificar con el vocabulario de tipos de STIX

El glosario de un equipo sirve dentro de ese equipo. Para compartir con otros (un CSIRT, un proveedor, otra empresa del sector) hace falta un vocabulario que entiendan también sus sistemas. STIX 2.1 es un estándar abierto de OASIS para expresar información de amenazas en un formato que las máquinas pueden leer. Uno de sus objetos, Malware, describe un programa malicioso.

Ese objeto obliga a decir algo que esta ruta ya trabajó: si describe una familia o una muestra concreta. El campo is_family es obligatorio; con true el objeto habla de la familia, y entonces el campo name también es obligatorio; con false habla de una instancia, y si no hay un nombre mejor se puede usar la huella o el nombre del archivo. Los otros nombres de la familia van en aliases.

El tipo de la muestra va en malware_types, que es una lista y puede llevar varios valores a la vez (un mismo programa puede ser registrador de teclas y espía). Sus valores deberían salir de una lista abierta que define el estándar, con 22 valores. «Abierta» quiere decir que se admiten otros valores, pero un valor fuera de la lista puede que el sistema de quien recibe no lo entienda, así que se usa solo cuando ninguno de la lista describe lo observado.

Abre el laboratorio y lee la lista, los resúmenes y el borrador:

cat vocabulario-tipos.txt
cat resumenes.txt
cat borrador-objetos.json

Antes de inventar un valor hay que buscar si la lista ya tiene uno que describa lo observado, aunque no use la palabra de moda. La lista está escrita por comportamiento, no por el nombre comercial del fenómeno. Lo que el resumen describe de la muestra es lo que decide el valor.

El último objeto del borrador describe una familia, pero el analista nuevo olvidó el campo que el estándar exige en ese caso. Trae los alias, así que el nombre se puede recuperar con la tabla del equipo:

cat alias-vigentes.txt

La lista tiene un valor para decir que no hay información suficiente para darle un tipo a la muestra. Usarlo no es un fracaso: es lo honesto cuando el análisis no permite afirmar nada, y evita que otro sistema tome decisiones sobre una etiqueta inventada. Poner «trojan» a una muestra porque llegó como adjunto, sin saber qué hace, mezcla la vía de llegada con el tipo y vuelve a la confusión de la primera sala.

Tampoco hay un valor para todo lo que se dice en el oficio: no existe uno para «cargador». Si ninguno de la lista describe lo observado, se elige el más cercano que la evidencia sostenga o se usa un valor propio, sabiendo que es menos interoperable.