La correlación y sus falsos amigos

MISP correlaciona dos atributos cuando tienen el mismo valor en eventos distintos, y lo mismo hace con los valores de los feeds en caché. Es un cálculo mecánico de igualdad: la instancia no sabe si el valor compartido es la infraestructura del adversario, la dirección de una víctima, un resolvedor de nombres que usa medio país o un adjunto que se llama igual en mil correos.

Por eso una correlación es una pregunta, no una conclusión. Lo que convierte un enlace en relación es el valor que lo produce: un dominio de campaña registrado para una sola operación pesa mucho; un servicio que comparte todo el mundo no pesa nada. Consulta SELECT * FROM atributos_ev3105 y fíjate en la nota de la tabla.

Algunos valores aparecen en tantos eventos que correlacionarlos ya no dice nada y cuesta mucho calcularlo. MISP tiene para eso el ajuste MISP.correlation_limit: cuando un valor aparece en más eventos que ese límite, la instancia deja de correlacionarlo y lo lista en la vista de valores que sobrecorrelacionan, donde un administrador puede revisarlos.

No es un borrado: el atributo sigue en su evento. Lo que desaparece es el enlace. Consulta SELECT * FROM ajustes y compara con la columna de eventos de atributos_ev3105.

Por debajo del límite quedan falsos amigos que no son tan obvios. Un sumidero es un servidor al que un investigador o un registrador redirige dominios de campañas que ya tomó: todos los dominios caídos acaban apuntando a la misma dirección, y esa dirección correlaciona campañas que no tienen nada que ver entre sí. La dirección de la víctima correlaciona todos los correos que alguna vez recibió, del actor que sea.

Lo que une dos casos es un valor del adversario que pocos comparten y que no es de nadie más: un dominio registrado para la operación, una cuenta de envío. Consulta SELECT * FROM correlaciones y lee la columna info_del_evento de cada enlace.

Las exclusiones de correlación sacan valores concretos del motor de correlación: a partir de ese momento, lo que coincida con la exclusión deja de enlazar eventos. Se escriben como valor exacto o como búsqueda por subcadena con el signo % al principio, al final o en los dos lados. El comodín es cómodo y peligroso: un patrón corto excluye cualquier valor que lo contenga, incluido el que no se pensaba tocar.

Una exclusión bien escrita apunta al valor exacto que hace ruido, o a un patrón tan específico que solo pueda atraparlo a él. Consulta SELECT * FROM exclusiones_propuestas y prueba cada patrón contra los valores de atributos_ev3105.