STIX y TAXII como lectura

STIX describe la información: objetos con un tipo (intrusion-set, campaign, attack-pattern, indicator, identity, report, entre otros) y objetos de relación que los unen con verbos como uses, indicates o attributed-to. TAXII es el protocolo con el que se pide y se publica ese contenido: un servidor ofrece colecciones, y cada una dice si quien consulta puede leer o escribir (can_read, can_write).

Una forma sencilla de recordarlo: STIX es el contenido, TAXII es el reparto. Leer un paquete no exige ejecutar nada: se mira qué objetos hay y cómo se relacionan. Los identificadores de este laboratorio están abreviados; en un paquete real llevan un UUID.

Abre la consola. objetos lista los objetos del paquete, relaciones los une y indicadores trae los patrones. Leer una relación es seguir una flecha: el objeto de origen, el verbo y el de destino. El nombre de la técnica va en el objeto de tipo attack-pattern.

Cada indicador trae valid_from y valid_until: el productor dice desde y hasta cuándo lo considera válido. Un indicador vencido no se carga como detección. La fecha de la consulta es el 13 de octubre de 2026; un indicador está vencido si su valid_until es anterior a esa fecha.

El servidor TAXII del foro ofrece cuatro colecciones. Llanura Viva consume, pero también puede aportar sus propias observaciones. Para saberlo se leen las columnas can_read y can_write, que son lo que el servidor le permite a su cuenta, no lo que le gustaría.

Un indicador relacionado con una campaña mediante indicates y con confidence de 30 dice que, según el productor, ese valor sugiere la campaña. Una confianza baja y una relación de este tipo no prueban nada por sí solas: son una pista que hay que combinar con otras.