Búsquedas y filtros por etiqueta y fecha

Un evento de MISP lleva tres marcas de tiempo distintas, y cada filtro de search mira una:

• date_from y date_to miran la fecha del evento, la que fija quien lo crea para decir cuándo ocurrió lo que describe.
• timestamp mira la última edición guardada, se haya publicado o no.
• publish_timestamp mira la última publicación.

Las dos últimas aceptan una ventana relativa como 7d o 24h, contada hacia atrás desde el momento de la búsqueda. Confundir los relojes es el error más común de las búsquedas por fecha: un incidente de septiembre que alguien publica en octubre tiene fecha de septiembre.

Consulta SELECT * FROM eventos y compara las columnas date, publicado_utc y ultima_edicion_utc.

La búsqueda B-1 se escribió para «traer los eventos de octubre para el boletín». Su autor pensaba en lo que llegó en octubre, pero el filtro que usó mira otro reloj. Consulta SELECT * FROM busquedas y luego vuelve a eventos: busca un evento publicado en octubre cuya fecha de evento quede antes del corte.

Para combinar etiquetas de forma explícita PyMISP ofrece build_complex_query, que arma un filtro con tres listas: las de or_parameters (basta una), las de and_parameters (hacen falta todas) y las de not_parameters (ninguna puede estar). Escrito así, el filtro se lee igual dentro de un año, y quien lo revisa no tiene que adivinar cómo une la instancia una lista suelta.

B-3 debe traer los eventos del sector asegurador que se pueden reenviar al comité sectorial, y deja fuera lo marcado en rojo del semáforo de compartición (TLP), que no sale de quien lo recibió. Aplica sus dos condiciones a la muestra.

B-2 trae «lo publicado en la última semana» con publish_timestamp, lanzada el martes 20 a las 08:00 UTC. Un evento puede haberse corregido esta misma semana sin volver a publicarse: la corrección está guardada en la instancia, pero no viaja a quien sincroniza ni aparece en una búsqueda por publicación. Para quien recibe, ese cambio no existe hasta que alguien publica otra vez.

Consulta SELECT * FROM reloj para fijar la ventana y busca el evento con edición reciente y publicación antigua.

Una búsqueda grande se pide por páginas para no pedirle a la instancia todo de golpe: limit fija cuántos registros trae cada página y page cuál de ellas se pide. La página 1 trae los primeros limit registros; cada página siguiente empieza donde terminó la anterior. Un bucle que recorre páginas termina cuando una vuelve vacía.

B-4 recorre los atributos del último mes de 50 en 50.