Etiquetas, taxonomías y galaxias

Una taxonomía es un vocabulario compartido de clasificaciones: escala de fiabilidad de las fuentes, semáforo de circulación, niveles de impacto. Cada valor se aplica como una etiqueta de máquina con forma espacio:predicado="valor", y los espacios de nombres más usados son tlp (semáforo) y admiralty-scale (fiabilidad de la fuente y credibilidad del dato). En las taxonomías llamadas exclusivas, un objetivo solo puede llevar un valor por predicado.

Gracias a ese formato fijo, una máquina puede filtrar por tlp:* o ponderar por fiabilidad sin entender el texto libre.

Abre la consola. En etiquetas_del_evento el evento lleva dos etiquetas del espacio tlp, una puesta por la Mesa y otra por el analista de Valle Sereno. La taxonomía tlp es exclusiva en el vocabulario de MISP: un objetivo debería llevar una sola. Cuando se encuentran dos, no se supone cuál manda la más antigua ni la más amable: ante un conflicto, se aplica la más restrictiva hasta que el emisor aclare, y se le pregunta.

La taxonomía clasifica con un vocabulario corto y cerrado: es el sello del dato. La galaxia describe con una ficha: un actor, una familia de malware, una técnica, con nombre, descripción y elementos (alias, país de origen declarado, referencias). Se adjunta a un evento o a un atributo como un cluster. Una organización puede mantener galaxias propias y privadas para sus actores y herramientas, sin tocar las públicas.

Una taxonomía dice «esta fuente es normalmente fiable»; una galaxia dice «este conjunto se llama así y hace esto».

En la consola, galaxias lista los clusters que el evento lleva adjuntos. Son de una galaxia propia de la Mesa, privada, que sirve para dar nombre a lo que la Mesa persigue. Uno es un conjunto de intrusión y otro, una familia de malware.

La distribución de MISP controla a dónde envía la plataforma el evento. El TLP es una instrucción de manejo para quien lo recibe: hasta dónde puede pasarlo. Son dos mecanismos que deben decir lo mismo: un evento con distribución a todas las comunidades y etiqueta de uso restringido es una contradicción, y la plataforma hará lo que diga la distribución, no lo que sugiera la etiqueta. El resultado es una filtración con todas las reglas aparentemente cumplidas.

Revisa los eventos de la Mesa en eventos_de_la_mesa: uno tiene la distribución más abierta posible y la etiqueta más cerrada.