El modelo de datos de STIX 2.1: objetos y relaciones

La especificación de STIX 2.1 (OASIS) no habla de «indicadores» a secas. Ordena el contenido en familias. Los objetos de dominio (SDO) son los conceptos de inteligencia: un actor, una campaña, un malware, un indicador, una identidad. Los observables (SCO) son hechos de red o de equipo: un nombre de dominio, una dirección, un archivo. Y los objetos de relación (SRO) son solo dos: la relación genérica y el avistamiento, que no describen una cosa sino un vínculo o un hecho de haberla visto.

Esa separación importa al leer: un indicador dice «busca esto»; el observable dice «esto existe»; la relación dice «esto se conecta con aquello».

Todo paquete debería poder responder de dónde viene. En STIX eso lo dice un objeto de dominio de tipo identity, que puede representar a una organización, a una persona o a un sector, y los demás objetos lo señalan con la propiedad created_by_ref. No es lo mismo quién creó un objeto que quién lo vio: la identidad que crea es la fuente; la que aparece en un avistamiento es dónde se observó.

Abre la consola. En objetos hay dos identidades. Una es quien emite el paquete y otra es quien lo recibe y lo vio en su red.

Una relación STIX tiene tres piezas obligatorias: relationship_type, source_ref y target_ref. Se lee en voz alta como una frase: origen, tipo, destino. «El indicador indicates la campaña» tiene sentido; la inversa, «la campaña indicates el indicador», no lo tiene, porque quien señala algo es el indicador. La dirección no es decoración: dos paquetes con las mismas piezas y la flecha al revés cuentan historias distintas.

Con la frase en la cabeza, la relación campaña uses malware significa que la campaña emplea esa familia, no que la familia emplee la campaña.

Un paquete es un grafo: si una relación apunta a un objeto que no está en el paquete ni se puede obtener, queda colgando. Quien lo ingiere no puede explicar qué señala ese indicador, y una defensa automática lo carga sin contexto o lo rechaza. Es el defecto de calidad más barato de encontrar: basta cruzar cada extremo de cada relación con la lista de objetos.

En la consola, relaciones trae cuatro relaciones y objetos trae los diez objetos del paquete.

Los indicadores no suelen llevar contexto propio: se lo dan sus relaciones. Para saber a qué conducta responde un indicador hay que seguir el grafo: del indicador a lo que indica, y de ahí a lo que lo explica. Es el mismo ejercicio que haría una persona al leer el paquete, y lo que haría un sistema al enriquecer el valor antes de cargarlo.

Parte del indicador cuyo patrón es el dominio del portal. Sigue su relación y lee, en objetos, cómo se llama el objeto al que llega.