Leer un parseo de STIX

Un paquete STIX 2.1 ("type": "bundle") es un sobre con una lista objects. Cada objeto lleva type, un id con la forma tipo--UUID, y las marcas created y modified, siempre en UTC y terminadas en Z. Un indicador exige además pattern (qué buscar), pattern_type y valid_from (desde cuándo vale).

Los objetos de STIX se versionan. Cuando quien creó un objeto lo cambia, publica otra versión con el mismo id y un modified nuevo: la especificación dice que una versión se identifica por la combinación de id y modified. Un paquete puede traer varias versiones del mismo objeto, en cualquier orden.

Abre bundle-msc-45.json y busca los dos objetos cuyo id termina en 0012.

Un objeto con "revoked": true es uno que su creador ya no considera válido, y la revocación no tiene vuelta atrás: es la forma correcta de que una mesa diga «esto fue un error, sáquenlo». Un guion que no mira revoked, ni compara versiones, entrega a la lista de vigilancia justo lo que la fuente pidió retirar.

El guion recorre objects de principio a fin e imprime cada indicador que entiende, sin recordar los ids que ya vio. Lee extrae_stix.py y compara su salida (salida-extrae.txt) con el paquete.

El valor solo es la mitad de lo que trae el paquete. Las relaciones ("type": "relationship") unen objetos con un verbo: relationship_type dice cuál, source_ref el objeto de origen y target_ref el de destino. indicates va de un indicador a lo que delata, por ejemplo una familia de malware.

El guion de Los Cerezos imprime valores y tira el resto, así que el SOC recibe una dirección sin saber de qué campaña es. Para recuperarlo a mano: toma el id del indicador, búscalo en los source_ref y sigue el target_ref hasta el objeto malware.

Los patrones de STIX tienen gramática propia: una comparación entre corchetes ([ipv4-addr:value = '...']), varias comparaciones unidas con AND u OR, y rutas de propiedad como file:hashes.'SHA-256' para los hashes. La expresión regular de la línea 4 solo reconoce una forma: una comparación sola, de tres tipos de observable. Todo lo demás termina en la línea 14.

El guion hace bien una cosa: no se calla lo que no entiende y lo imprime. Lo que falla es que nadie lee esas líneas y que la solución no puede ser forzar más la expresión regular. Busca en el paquete los dos indicadores que salieron como «sin extraer».