Qué resuelve TAXII y qué no

TAXII 2.1 es un estándar de OASIS (publicado como OASIS Standard el 10 de junio de 2021) que define cómo se intercambia inteligencia de amenazas entre sistemas: qué direcciones expone un servidor, qué se pide en cada una, con qué tipo de medio y qué códigos de respuesta se devuelven. Todo viaja por HTTPS y en JSON, con el tipo de medio application/taxii+json;version=2.1.

El servicio que la norma define es la colección: un depósito lógico de objetos en el servidor al que un cliente pide (lee) o en el que envía (escribe), siempre a petición del cliente. TAXII no dice qué significa cada objeto; eso lo dice STIX, que es el contenido por defecto de una colección. Un servidor TAXII es, por tanto, una puerta con reglas: quién llega, qué puede pedir y qué puede dejar.

Abre la terminal y lee LEEME.txt (cat LEEME.txt) para situarte.

La especificación de TAXII 2.1 nombra un segundo tipo de servicio, los canales, pensado para que un productor empuje contenido a sus suscriptores sin que estos lo pidan. Pero en la versión 2.1 los canales están reservados: la norma guarda el nombre y deja su definición para una versión posterior. En la práctica, todo intercambio TAXII 2.1 es de petición y respuesta: el cliente pregunta cada cierto tiempo (sondeo) y el servidor contesta con lo que tenga.

Eso cambia lo que se puede prometer a una gerencia. «Nos enteraremos en cuanto lo publiquen» no es algo que dé el protocolo: dependerá de cada cuánto sondee tu cliente.

Abre expectativas-de-la-gerencia.txt y lee las seis expectativas.

TAXII aporta cuando el contenido ya es estructurado pero llega por un canal que obliga a una persona a moverlo: un STIX adjunto a un correo hay que descargarlo, revisarlo y subirlo a mano. Si ese mismo emisor publicara en una colección, el cliente de la plataforma lo pediría solo. En cambio, un PDF no gana nada con TAXII, porque el problema no es el transporte sino que una máquina no puede leerlo; y una sincronización entre plataformas MISP ya es automática por otro protocolo.

Abre fuentes-actuales.csv. Cada fila dice qué entrega la fuente, en qué formato y por qué canal.

Un servidor TAXII entrega lo que tiene a quien tiene permiso de pedirlo; no juzga si un indicador es cierto, ni si la fuente acierta, ni qué puedes reenviar a un tercero. La fiabilidad se valora con los criterios del módulo 3 (fuente y dato por separado). Lo que se puede reenviar lo dicen los marcados que vienen en los objetos y los acuerdos de la comunidad, y lo cumple quien recibe: el protocolo no lo impone.

Vuelve a expectativas-de-la-gerencia.txt y mira la expectativa E-2.