Compartir indicadores: TLP, STIX y TAXII

El Traffic Light Protocol (TLP), del FIRST, es un acuerdo de cinco etiquetas que dice hasta dónde puede llegar lo que se comparte. La pone quien lo emite y la respeta quien lo recibe. TLP:RED: solo las personas destinatarias. TLP:AMBER+STRICT: solo dentro de la organización de quien lo recibe. TLP:AMBER: la organización y sus clientes, con necesidad de saber. TLP:GREEN: la comunidad de pares y socios, pero no por canales públicos. TLP:CLEAR: sin límite.

La etiqueta no depende de que el contenido «parezca delicado»: depende de lo que dijo quien lo compartió. Y ante la duda no se supone la más abierta: se pregunta a quien lo emitió.

Abre la consola. En recibidos están los cuatro informes con su etiqueta, en pedidos las peticiones de reenvío y en tlp el alcance de cada etiqueta. Una de las peticiones es la que más tienta a decir que sí: la persona es de la propia empresa y quiere «estar al tanto». Pero la etiqueta no habla de empresas, habla de personas.

STIX es un formato estándar —de OASIS, versión 2.1— para describir inteligencia de amenazas de forma que una máquina la entienda. No es un solo archivo de indicadores: es un conjunto de objetos enlazados. Un indicator lleva un patrón (qué buscar), un valid_from y, opcionalmente, un valid_until (hasta cuándo vale) y una confidence (de 0 a 100). Un malware o un actor describen a qué se refiere el indicador; un relationship los enlaza (por ejemplo, «el indicador señala a este malware»); una identity dice quién publica.

La ventana de validez y la confianza viajan con el indicador: quien lo recibe no tiene que adivinarlas.

Además de describir al adversario, STIX permite registrar que alguien vio un indicador: es un objeto de avistamiento (sighting), que apunta al indicador visto y puede llevar cuántas veces y cuándo. Es la forma en que la comunidad se retroalimenta: tu avistamiento le dice a los demás que ese valor sigue activo y, con él, cuánto vale.

Un paquete STIX es el formato; TAXII es el protocolo con el que se intercambia. Funciona sobre HTTPS: un servidor ofrece colecciones de objetos y los clientes se suscriben a ellas, para leer o, si tienen permiso, para publicar. Lo que cambia respecto a un informe en PDF es quién lo lee: la máquina ingiere el paquete sin que nadie lo teclee. Lo que no cambia es que la etiqueta TLP debe seguir viajando con cada objeto, y que cada colección tiene sus permisos.