El paquete de intercambio

Un atributo con to_ids en 1 alimenta la detección automática de quien lo reciba. Si el valor es un servicio legítimo que todo el mundo usa a diario, el evento llena de alertas falsas a toda la comunidad y le enseña a ignorar el resto del paquete.

Un paquete para la comunidad describe al adversario. Entre los atributos se coló información que no ayuda a nadie a detectar nada y que, en cambio, dice quién fue la víctima y dónde.

En MISP la distribución decide a dónde envía la plataforma el evento; la etiqueta TLP dice qué puede hacer con él quien lo recibe. Las dos tienen que decir lo mismo, y si no lo dicen, la plataforma obedece a la distribución. La política de la casa fija ambas para lo que va a la RAE.

Un paquete STIX se lee siguiendo las relaciones: cada source_ref y cada target_ref debe corresponder a un objeto que viaja dentro del mismo paquete. Una relación que apunta fuera deja al receptor con una referencia que no puede resolver, y su plataforma la descarta o la marca como error.

Con el evento limpio según la política —fuera lo que describe a la casa o a sus personas, fuera lo que llegó con una licencia que prohíbe redistribuir, y en to_ids 0 lo que esté en la lista de advertencia— queda lo que la comunidad podrá cargar en su detección.