Compartir e informar

Ánfora recibe de un grupo de confianza un informe marcado TLP:RED. El protocolo de semáforo —un estándar público— dice hasta dónde puede reenviarse cada dato: TLP:CLEAR es libre; TLP:GREEN, para la comunidad; TLP:AMBER, solo dentro de tu organización y quien necesite saberlo; TLP:RED, solo para quienes estaban en la sala, sin reenviar a nadie. Reenviar un TLP:RED a una empresa amiga «porque también le interesa» rompe la confianza que hace que la gente comparta, y la próxima vez no te llega nada.

Respetar la etiqueta no es burocracia: es lo que sostiene que las organizaciones se pasen inteligencia entre sí. Quien filtra un TLP:RED queda fuera del círculo.

Ánfora va a publicar en su comunidad (TLP:GREEN) el paquete de indicadores de NIEBLA SECA. Al revisarlo, el paquete incluye, mezclado, el nombre de un servidor interno de Ánfora y el correo de un empleado que recibió el phishing. Eso no describe al atacante: describe a Ánfora, y compartirlo expondría su red y a su gente sin ninguna ganancia defensiva para nadie. Antes de compartir se sanea: se dejan los indicadores del ADVERSARIO (dominios, patrones, técnicas) y se quita todo lo que identifica a la víctima o a la propia casa.

Compartir bien es compartir lo que ayuda a otros a defenderse del actor, no volcar el expediente entero con datos internos dentro.

La dirección de Ánfora no va a leer una lista de dominios ni códigos de ATT&CK. Necesita otra cosa: qué riesgo corre el negocio, qué decisión se le pide y qué cuesta. El informe para dirección de NIEBLA SECA dice, en lenguaje de negocio, «un actor ataca cadenas como la nuestra por el correo de proveedores; nuestro portal de proveedores es el punto expuesto; reforzar ese canal cuesta X y reduce el riesgo Y; la decisión es aprobar ese refuerzo». Sin jerga, orientado a decidir.

Meterle a un directivo cincuenta indicadores técnicos no lo informa: lo bloquea. El informe ejecutivo traduce la amenaza a riesgo y decisión, que es lo único que ese lector puede accionar.

El analista del turno necesita justo lo contrario: el detalle que le permite actuar hoy. El informe técnico de NIEBLA SECA trae los indicadores (dominios y patrones), las técnicas mapeadas a ATT&CK (T1566, T1053, T1071, T1105, T1078), la lógica de detección lista para cargar, y qué buscar en los registros. Es denso a propósito: el lector es alguien que va a escribir reglas y a cazar, y para eso la jerga no sobra, hace falta.

El mismo caso produce dos documentos porque son dos lectores con dos trabajos. Confundirlos —darle a la dirección lo del analista o al revés— hace que ninguno de los dos pueda usar el informe.

Abre el paquete que Ánfora iba a publicar: mezcla indicadores del adversario con datos que identifican a la propia red y a una víctima. Sanéalo —deja solo lo que describe al atacante—, confirma la etiqueta de intercambio para la comunidad, y abre el paquete ya listo para compartir. Lee el código que la plataforma le asigna.