Escenario: el evento que llegó con defectos

Antes de usar un paquete se revisa que sus objetos tengan sentido por dentro. Uno de los dos indicadores del paquete declara una ventana de validez imposible.

Los tres atributos del evento llevan to_ids en 1, pero la política de Aguamarga no deja que la marca del emisor decida sola, y la red tiene sus propias listas de advertencia.

Aguamarga quiere republicar el indicador del dominio en su propio paquete, con la confianza que le asigna su política. La fuente es fiable y el evento trae una credibilidad del dato; la política traduce esa credibilidad a un número de confianza de STIX, que va de 0 a 100.

El emisor declaró una vigencia para el indicador del dominio, pero la política de Aguamarga manda sobre cuánto tiempo confía la red en lo que recibe, y se cuenta desde el último avistamiento del atributo.

Son las 10:40. La etiqueta del evento y su distribución no cuadran entre sí, el paquete tiene un indicador roto y una de las direcciones es de una pasarela que la propia red usa. Hay que decidir qué entra en detección, qué se devuelve al emisor y qué se reenvía.