Analizadores y límites de cuota

En el ecosistema de TheHive, Cortex es el motor que ejecuta dos clases de programas. Los analizadores consultan: reciben un observable (una IP, un dominio, una URL, un archivo) y devuelven un informe con lo que una fuente sabe de él. Los respondedores actúan: realizan una acción sobre un caso, una tarea o un observable, como enviar un correo o pedir un bloqueo en un cortafuegos.

Enriquecer es leer y no cambia nada en los sistemas de la empresa. Actuar sí lo cambia y por eso pasa por una aprobación. El informe de un analizador resume su veredicto con un nivel; en Cortex los niveles son informativo, seguro, sospechoso y malicioso.

Un analizador externo consulta a un tercero, que casi siempre fija un límite de consultas por día o por mes. Cortex permite además poner una tasa de uso por organización y por analizador (por día o por mes) para no gastar toda la cuota en una hora. Un analizador interno, que trabaja con datos locales, no envía nada fuera.

Abre la consola y ejecuta SELECT * FROM analizadores. Las columnas limite y usados dicen cuánto queda hoy; la columna que_sale_de_la_red dice qué recibe el tercero.

Cada vez que se lanza un analizador sobre un observable se crea un trabajo que puede terminar bien o mal. Un trabajo fallido no es un resultado limpio: significa que de ese observable no se sabe nada nuevo, y esa ausencia se anota.

Ejecuta SELECT * FROM trabajos WHERE estado = 'fallido' y mira la columna observable.

Ejecuta SELECT * FROM trabajos. El analizador de IP calificó la dirección del remitente como «suspicious» y el de ubicación solo aportó información. Una única fuente que dice «sospechosa» es una opinión: puede basarse en datos viejos, en una lista compartida o en un falso positivo.

El analista no copia el veredicto al caso como verdad: anota la fuente, la fecha y lo cruza con lo que se vio en el entorno, como las conexiones y los correos del propio caso.

El valor de un observable es lo que recibe el proveedor del analizador externo, y esa consulta puede quedar registrada allí. Por eso la regla es sencilla: lo que lleva el nivel más restrictivo de TLP (la dirección de un equipo de la empresa, el buzón de una persona) no se envía a un analizador externo, y para él se usan solo los internos. Los datos del atacante, en cambio, sí se consultan.