Patrones de STIX: leer y completar un indicador

El lenguaje de patrones de STIX describe qué observar. Cada par de corchetes encierra una observación: una condición sobre las propiedades de un objeto observable, como domain-name:value = '…'. Dentro de un par de corchetes, AND exige que las dos condiciones se cumplan sobre la misma observación; entre dos pares de corchetes, los operadores AND, OR y FOLLOWEDBY relacionan observaciones distintas, y un calificador como WITHIN … SECONDS acota el tiempo entre ellas.

La diferencia no es de estilo: [a AND b] pide que una sola observación tenga las dos propiedades; [a] AND [b] acepta dos observaciones separadas.

En la consola, indicadores trae los cuatro que llegaron: el nombre dice para qué sirve y el patrón dice qué se busca de verdad. Un indicador bien hecho tiene un nombre que coincide con su patrón; leer ambos es la primera comprobación de calidad que se hace sin ninguna herramienta.

La especificación de STIX 2.1 fija qué propiedades son obligatorias en un objeto indicator. Un borrador al que le falta una propiedad obligatoria no es un indicador válido: el receptor lo rechaza o, peor, lo procesa a medias. El oficio es revisar el borrador contra la plantilla antes de publicar.

En la consola, plantilla_indicator lista las propiedades con su obligatoriedad y borrador trae lo que escribió el analista. Compáralas fila a fila.

La ventana de validez de un indicador la dan valid_from y, si existe, valid_until; la especificación pide que valid_until sea posterior a valid_from. Es el emisor quien dice hasta cuándo vale su afirmación. Conviene saber cuántos días declara antes de decidir si cargarlo en detección y cuándo revisarlo.

Mira el indicador de la dirección del servidor de recogida: calcula la diferencia entre sus dos fechas.

La propiedad pattern_type dice en qué lenguaje está escrito el patrón. El valor de uso normal es el propio STIX, pero el vocabulario abierto admite otros lenguajes de reglas de detección, y entonces pattern guarda la regla tal cual y es el sistema receptor quien debe entender ese lenguaje. Eso significa que un indicador puede viajar en un paquete STIX sin ser un patrón STIX.

Esto condiciona qué hace un consumidor automático: antes de interpretar pattern, mira pattern_type.