Qué feed merece entrar

MISP acepta feeds en tres formatos. Un feed MISP es una colección de eventos en JSON con su forma completa: atributos, objetos, etiquetas, fechas. Un feed de texto libre es una lista de valores, uno por línea o mezclados en prosa, que la instancia interpreta para adivinar el tipo de cada uno. Un feed CSV trae columnas, y quien lo configura elige cuáles se convierten en atributos y con qué separador.

La diferencia no es de comodidad sino de contexto. Un evento trae consigo para qué sirve el valor, desde cuándo se ve y bajo qué etiqueta de difusión; un valor suelto en una línea no trae nada de eso, y la instancia lo recibe sin saber si es un servidor de mando, una víctima o un error de quien lo publicó. Abre la consola y mira la columna formato de SELECT * FROM feeds_candidatos.

Una política de entrada convierte la discusión «este feed parece bueno» en una lista que se puede comprobar. La de Garza Blanca tiene cinco criterios: que responda a un requisito vigente, que cada indicador traiga fechas y contexto, que la licencia permita la detección en una empresa, que se actualice al menos cada semana y que sea fuente original. Un feed entra en modo fetch con la marca IDS solo si cumple los cinco.

Consulta SELECT * FROM criterios_de_entrada y SELECT * FROM requisitos, y después recorre feeds_candidatos fila por fila. Cuidado con las columnas que parecen buenas noticias: «libre, cualquier uso» no dice nada del contexto, y «diaria» no dice nada de la licencia. Cada criterio se mira en su columna.

Hay feeds que reúnen lo publicado por otros y lo vuelven a publicar en un solo lugar. Son cómodos, pero no son una fuente: si ya tienes la original, el agregado solo duplica valores, y además suele llegar tarde. Y si no la tienes, el agregado te hace creer que dos feeds coinciden cuando en realidad uno copia al otro. Es el mismo error que contar dos veces una noticia que dos medios toman de la misma agencia.

El origen declarado no siempre lo dice con claridad. Consulta SELECT * FROM muestra_cruzada: los valores de ejemplo de cada proveedor, cruzados, con el feed que los publicó antes que nadie.

Un feed se puede activar de dos maneras. En caché, la instancia descarga su contenido y lo guarda aparte para consultarlo: los valores correlacionan con los eventos propios y aparecen como coincidencias de feed, pero no se crea ningún evento en la base de datos. En fetch, el contenido se ingiere y se convierte en eventos de la instancia, con todo lo que eso trae: lo que lleve la marca IDS llega a las exportaciones que alimentan la detección.

Dos ajustes más importan en los feeds de texto libre y CSV. Override IDS Flag, activado, deja la marca IDS en falso para todo lo que entre por ese feed. Delta Merge, activado, conserva solo lo del último fetch y retira lo anterior. Y si un feed no trae distribución, sus eventos se importan como «Your organisation only». La política de la casa deja que un candidato que falla solo el criterio de frecuencia se pruebe un mes «sin crear eventos». La Mesa Eléctrica es ese caso: cubre dos requisitos con buen contexto, pero publica cuando un miembro reporta algo.