Compartir indicadores sin exponer la fuente

En MISP, un evento agrupa atributos (valores con su tipo) y cada evento tiene un nivel de distribución que decide quién lo ve: solo tu organización, esta comunidad, las comunidades conectadas, todas las comunidades, o un grupo de compartición que defines con organizaciones concretas. El nivel más cerrado es el que viene por defecto en un borrador; el más abierto deja que el evento viaje de servidor en servidor sin control.

Para compartir con unas cooperativas concretas del sector, la herramienta pensada es el grupo de compartición: se decide quién entra en lugar de abrir a todos o dejar todo cerrado.

Cada atributo lleva una marca (to_ids, «para sistemas de detección») que dice si el valor es un indicador accionable. Las exportaciones para sistemas de detección incluyen solo los atributos con esa marca activa. Los atributos sin ella son contexto: ayudan a entender el caso pero no deben convertirse en una regla de otro SOC.

Abre la consola y ejecuta SELECT * FROM atributos WHERE to_ids = '0' y cuenta las filas.

Compartir un indicador es entregar una pista sobre qué se vio y dónde. Si el evento incluye el buzón de una persona, el nombre de la empresa, una dirección de su red o el nombre de su herramienta de detección, cualquiera que lo reciba sabe quién fue la víctima. Incluso el título del evento (info) puede delatarla. El principio es compartir lo del atacante y quedarse con lo propio.

Ejecuta SELECT * FROM atributos WHERE comentario LIKE '%buzon%'.

MISP incluye listas de advertencia (warninglists): valores conocidos y legítimos, como servicios de alojamiento o nombres de dominio muy comunes, que no deberían ser indicadores porque dispararían falsos positivos en todas partes. Un atributo que coincide con una lista y aun así está marcado para detección es un riesgo para quien reciba el evento.

Ejecuta SELECT * FROM atributos WHERE lista_advertencia <> '-'.

Con lo visto, el borrador tiene tres problemas: atributos que nombran a la empresa, un valor legítimo marcado como indicador y un título que describe a la víctima. Todos se arreglan antes de publicar, no después, porque un evento publicado ya viajó.