Distribución: de la organización a la comunidad

Un evento tiene su distribución y cada atributo la suya. Los niveles van de más cerrado a más abierto: 0 solo tu organización, 1 solo esta comunidad, 2 comunidades conectadas, 3 todas las comunidades, y el 4, aparte, un grupo de compartición. Un atributo puede además heredar del evento, que es la opción por defecto y la recomendada.

La regla que lo ordena todo: entre el evento y el atributo gana siempre el más restrictivo. Un atributo no puede llegar más lejos que su evento, y un evento abierto puede llevar dentro un atributo que no sale de casa.

Ejecuta SELECT * FROM atributos y busca el atributo A-06; luego mira su evento en SELECT * FROM eventos.

Heredar del evento es cómodo y casi siempre correcto, y por eso mismo es peligroso cuando se mezclan en un evento datos del adversario y datos de la víctima. Un dominio falso puede viajar a todas las comunidades; el equipo de la víctima que abrió el enlace, no. Si ese dato hereda, viaja con el resto.

En atributos, los comentarios dicen qué describe cada valor. Busca, entre los que heredan de un evento en 3, el que no es del adversario sino de la propia organización.

El nivel 1, «solo esta comunidad», incluye a las organizaciones de esta instancia y a las de las instancias que sincronizan con ella. Pero tiene una regla de viaje propia: no se empuja. Si otra instancia lo descarga, lo recibe como 0, solo para la organización. El nivel 2, en cambio, se empuja y llega como 1.

Ejecuta SELECT * FROM niveles y mira la columna de lo que pasa al sincronizar. Luego busca el evento del Hospital San Quintín.

La regla del más restrictivo también protege: un atributo con nivel 0 dentro de un evento abierto se queda en la organización que lo creó, aunque el evento viaje. Es la forma correcta de guardar en el mismo evento una nota interna —quién avisó, qué equipo se aisló— sin que salga con los indicadores.

Recorre atributos y busca, dentro del evento del CSIRT, el atributo que no saldrá de la organización.

Ante un atributo que no debe salir, la tentación es cerrar el evento entero a 0. Eso deja sin el dominio falso y su dirección a todos los que podrían bloquearlos, que es justo para lo que se compartió. Lo que se corrige es el atributo: se baja su distribución a 0 o se saca del evento, y el evento sigue compartiendo lo que sí sirve.