Observables y su enriquecimiento

Cada observable lleva un tipo (ip, domain, url, mail, filename, hash), un valor y, en plataformas como TheHive, varias marcas. Dos se confunden mucho. La marca de indicador (ioc) dice que ese valor sirve para buscar y bloquear la amenaza fuera de este caso. La marca de avistado (avistado en la exportación) dice que ese valor se vio en el entorno propio: en un registro, en un equipo, en un buzón.

Son preguntas distintas: un valor puede ser indicador sin haberse visto todavía (lo trae un informe o un analizador) y puede haberse visto sin ser indicador (la IP del propio portátil aparece en los registros porque es del entorno, no porque sea hostil).

Un caso mezcla datos del atacante y datos de la empresa afectada. Los de la empresa (sus equipos, sus cuentas, su dominio) se registran porque dan contexto, pero no se marcan como indicador: buscarlos o bloquearlos dañaría a la propia empresa. En la columna tlp se ve la señal: lo propio lleva el nivel más restrictivo.

Abre la consola y ejecuta SELECT * FROM observables WHERE tipo = 'ip'.

Los indicadores del caso son lo que pasará después a las búsquedas y, si se autoriza, a un intercambio con otras organizaciones. Contarlos es el primer paso para preparar esa lista.

Ejecuta SELECT * FROM observables WHERE ioc = 'si' y cuenta las filas.

Ejecuta SELECT * FROM observables WHERE tlp = 'RED'. Entre los tres observables está el dominio de la propia empresa, que figura en todos los correos legítimos que sus empleados envían y reciben. Un compañero propone marcarlo como indicador «para que quede completo».