Confianza y marcado de las fuentes

En OpenCTI hay dos medidas que no se deben mezclar. La fiabilidad (reliability) califica a la fuente: se pone en organizaciones, personas, sistemas e informes, y por defecto usa las letras del código del Almirantazgo, de la A a la F. La confianza (confidence) califica al dato: es un número de 0 a 100 que va en cada entidad y en cada relación, y que la plataforma puede mostrar con escalas de etiquetas.

Las dos se leen juntas, pero no se compensan. Una fuente muy fiable puede entregar un dato que aún no está confirmado, y una fuente poco fiable puede acertar alguna vez. Consulta SELECT * FROM escala_de_fiabilidad.

Cada usuario de la plataforma, y cada conector, que trabaja con un usuario, tiene una confianza máxima. La de los grupos es obligatoria; la del usuario es opcional. La documentación fija cómo se calcula la efectiva: de los grupos se toma el valor más alto; si el usuario tiene una confianza máxima propia, esa manda sobre todo lo que venga de los grupos; y quien tiene la capacidad de saltarse las restricciones (bypass) cuenta siempre como 100.

Consulta SELECT * FROM grupos y SELECT * FROM usuarios.

La confianza máxima no es decorativa: según la documentación, un usuario cuya confianza máxima es menor que la confianza de una entidad no puede actualizarla ni borrarla. Es lo que protege el trabajo cuidado de un analista frente a un conector que importa en masa: si el conector escribe con poca confianza máxima, no pisa lo que se afirmó con más confianza.

El conector Chusque tiene un lote pendiente con una descripción nueva para tres entidades. Mira su usuario, su grupo y la confianza de cada entidad en entidades.

Los marcados son también un filtro de acceso. La documentación lo dice sin rodeos: para ver un objeto hay que tener permitidos todos sus marcados, no solo uno. Dentro de un mismo tipo de marcado, tener permitido uno de orden mayor da acceso a los de orden menor: quien puede ver TLP:AMBER ve también TLP:GREEN.

En Río Bermejo, además del TLP, hay un tipo de marcado propio, ACUERDO, para lo que se recibe bajo convenios. Mira el grupo de jparra, la tabla marcados y los informes.

Cuando la confianza dejó de configurarse en cada conector y pasó a salir del usuario con el que trabaja, quedó una trampa: un conector que escribe con una cuenta de administración tiene confianza 100 y puede reescribir cualquier entidad de la plataforma, incluida la que un analista corrigió a mano esa mañana. Consulta otra vez usuarios y grupos.