MISP y OpenCTI: cuándo cada uno

MISP nació para compartir: su unidad es el evento, con atributos, objetos, etiquetas y galaxias; correlaciona automáticamente los atributos entre eventos, y decide hasta dónde viaja cada cosa con niveles de distribución, grupos de compartición y sincronización entre instancias. Su licencia es AGPL-3.0.

OpenCTI nació para modelar conocimiento: su unidad es la entidad dentro de un grafo sobre STIX 2.1, con relaciones fechadas, fiabilidad de la fuente, confianza del dato, conectores en las cinco direcciones y un motor de inferencia. Su edición comunitaria lleva licencia Apache-2.0; la edición empresarial tiene una licencia propia.

Consulta SELECT * FROM necesidades y SELECT * FROM capacidades.

Ninguna plataforma toma decisiones de negocio. Pueden ordenar, correlacionar, inferir y entregar, pero hay preguntas cuya respuesta es de una persona con autoridad: qué se corta, quién asume el riesgo, qué se comunica fuera. Si una necesidad así se apunta como «requisito de la herramienta», nadie la atiende.

Para que convivan, existe un conector de importación de MISP hacia OpenCTI. Según su documentación, cada evento entra como un informe que contiene lo importado; los atributos de red y de correo, como observables; las etiquetas TLP, como marcados; y los clústeres de galaxia, como entidades. Va en un solo sentido: de MISP hacia la plataforma de conocimiento.

Qué atributo se convierte además en indicador lo decide cada organización. En Río Bermejo hay una regla de la casa, escrita en regla_de_importacion. Aplícala al evento 4127.

Con las necesidades, las capacidades y el conector a la vista, el área tiene que proponer cómo se reparte el trabajo entre las dos plataformas. Tiene una persona y media dedicadas a inteligencia.