Entidades, observables y relaciones

OpenCTI se apoya en el modelo de STIX 2.1 y lo guarda como un grafo: los nodos son entidades (los objetos de dominio, SDO: un conjunto de intrusión, una campaña, una familia de malware, una técnica, un indicador, una organización o un sector) y observables (los objetos de observación, SCO: un dominio, una dirección, un correo, un archivo). Las aristas son las relaciones y los avistamientos. La plataforma añade tipos propios a los de la especificación, pero la base es la misma.

Lo que más confunde al empezar es ver un mismo dominio dos veces. Una es el observable: el hecho de que ese nombre existe y apareció en algún lado. La otra es el indicador: un patrón de detección que dice «busca esto», con su ventana de validez y su confianza, y que se une al observable con una relación based-on. Se pueden tener observables sin indicador (lo visto que no se quiere buscar) e indicadores cuyo observable aún no se registró.

Consulta SELECT * FROM objetos y fíjate en la columna familia.

Un indicador vale lo que vale el hecho del que sale. Si alguien pregunta «¿de dónde salió este patrón?», la respuesta está en la relación based-on, que va del indicador al objeto observado. En la especificación de STIX 2.1 el destino de esa relación es un objeto observed-data; la plataforma admite también que el destino sea directamente el observable, que es lo que verás en esta exportación.

En Río Bermejo hay dos indicadores: el del dominio, que publicó la Mesa Sectorial de Energía, y el de una dirección, que escribió el propio equipo.

Una relación se lee en voz alta: origen, tipo, destino. El modelo no admite cualquier combinación: fija qué tipos de origen pueden tener qué relación con qué tipos de destino. «El conjunto de intrusión usa la familia» se lee; la inversa no, porque una familia de malware no emplea a quien la opera. Una relación con la dirección al revés no es un detalle de forma: cuenta una historia distinta, y cualquier regla que razone sobre el grafo la tomará al pie de la letra.

Cruza las relaciones de uso con la tabla relaciones_admitidas.

El avistamiento (sighting) es el otro objeto de relación de STIX. No dice que dos cosas estén relacionadas: dice que alguien vio un indicador, dónde (la identidad que lo observó), cuántas veces y entre qué fechas. Para una empresa es la pieza que convierte un dato ajeno en un dato propio: el indicador de la Mesa Sectorial deja de ser un rumor cuando aparece visto en la red de Río Bermejo.

Las fechas de primer y último avistamiento sirven para decidir si algo sigue activo. Un indicador visto por última vez hace meses no se trata igual que uno visto ayer.