Compartir y el informe, sin guía

Un paquete para la comunidad comparte lo que ayuda a otros a defenderse y nada más. Cada dato trae la marca con la que llegó a la casa, y esa marca manda aunque el dato sea útil: lo recibido con una marca restrictiva no se reenvía a una audiencia más amplia. Las reglas de difusión de la casa están en la carpeta.

Entre los indicadores del adversario se coló, en el borrador del paquete, un dato que no describe al atacante sino a quien lo recibió. Compartirlo expondría la red de la casa y no ayudaría a nadie a detectar nada.

El borrador de un compañero tiene la forma de un informe y varios defectos de fondo. Un informe para quien decide se defiende con lo que ya se estableció en los días anteriores: lo que se afirma, con qué palabras y con qué confianza, y qué se le pide a quien lo lee.

Un indicador tiene fecha de caducidad: una dirección que el adversario ya abandonó sigue en la lista y hace perder tiempo a quien la busca. El paquete lleva la fecha hasta la que cada valor se considera vigente.

El informe del analista lleva lo que el turno necesita para actuar hoy: indicadores, técnicas de ATT&CK, la lógica de las reglas y qué se vigila. Mezcla datos propios con contenido recibido bajo una marca restrictiva y nombres internos de equipos. Hay que decidir con qué etiqueta circula.