Compartir a máquina: STIX, TAXII y MISP

Ánfora quiere que cien organizaciones de su comunidad se defiendan del actor. Si les manda un PDF con los indicadores, alguien en cada una tiene que leerlo, copiar los dominios a mano y cargarlos en sus defensas: lento, y nadie lo hará a tiempo. STIX resuelve eso: describe los mismos indicadores en un formato estructurado que las máquinas ingieren solas, sin que una persona teclee nada. La diferencia no es de prestigio ni de detalle, es de a quién va dirigido: el PDF a un lector humano, el STIX a un sistema que actúa automáticamente.

Compartir a escala exige un formato que la máquina lea. Un indicador en prosa se queda en quien lo lee; un indicador en STIX llega a toda defensa suscrita.

STIX y TAXII suenan parecido pero hacen cosas distintas y complementarias. STIX es el CONTENIDO: el paquete estructurado que describe los indicadores y las TTP. TAXII es el TRANSPORTE: el protocolo por el que una organización publica ese paquete y otra se suscribe para recibirlo automáticamente. Uno es la carta; el otro, el correo que la reparte. Hace falta separarlos porque se pueden combinar de otras formas, pero juntos son el estándar: STIX viajando sobre TAXII es cómo un feed de inteligencia llega solo a quien se suscribió.

STIX dice qué se comparte; TAXII, cómo llega. Confundirlos es como confundir el documento con el servicio de mensajería que lo entrega.

Más allá del formato y el transporte, las organizaciones necesitan un sitio donde compartir y cruzar lo que cada una ve. MISP es una plataforma pensada para eso: varias organizaciones suben sus indicadores, los etiquetan, y la plataforma correlaciona —si el dominio que Ánfora subió aparece también en el evento de otra cadena, MISP lo enlaza solo—. Es donde la inteligencia deja de ser de una casa y pasa a ser de una comunidad: lo que una vio ayuda a otra, y los solapes revelan campañas más grandes que ninguna veía entera.

Una plataforma de compartición no solo guarda indicadores: los correlaciona entre organizaciones, y ahí es donde dos incidentes sueltos se revelan como una misma campaña.

Compartir a máquina no jubila al informe para personas. Son dos canales con dos destinatarios: el paquete STIX alimenta las defensas automáticas de otras organizaciones, y el informe en prosa sigue haciendo falta para el analista o el directivo que necesita entender el contexto, no solo recibir una lista de dominios. Lo que cambia es que el indicador accionable ya no se transmite en prosa para que alguien lo copie a mano: eso va en STIX. La prosa se reserva para lo que una máquina no acciona —el porqué, el riesgo, la recomendación—.

A la máquina se le da el indicador estructurado; a la persona, el contexto que la máquina no acciona. Cada canal lleva lo que su destinatario puede usar.

Abre el registro de compartición de la plataforma. El paquete de la campaña está empaquetado en formato estructurado y listo para que un feed lo distribuya y otras organizaciones lo ingieran solas. Abre ese paquete estructurado y lee el código que la plataforma le asignó.