Reglas de inferencia y sus riesgos

El motor de reglas de OpenCTI aplica reglas lógicas de la forma «si se cumple esto y esto, entonces existe aquello». La documentación describe alrededor de una veintena de reglas predefinidas, que se activan o desactivan desde la administración; por ejemplo, si una campaña usa una familia de malware y esa campaña se atribuye a un conjunto de intrusión, el motor escribe que el conjunto usa esa familia. En el grafo, una relación inferida se dibuja con línea punteada y de otro color; en las listas, lleva un icono de varita al final de la fila.

Consulta SELECT * FROM reglas y SELECT * FROM relaciones_inferidas: los nombres de las reglas van en inglés, como los muestra el producto.

Cada inferida dice en a_partir_de de qué relaciones sale, y algunas salen de otras inferidas. Eso forma una cascada: si una relación base es débil, todo lo que cuelga de ella, directa o indirectamente, hereda su debilidad aunque el motor no lo diga. Para medir el daño de una relación dudosa hay que contar su descendencia entera, no solo la primera generación.

La atribución de Cobro Callado a GARZA GRIS llegó de una bitácora personal con confianza 30.

Según la documentación, desactivar una regla borra todos los objetos y relaciones que esa regla creó. Es una forma de deshacer una cascada, pero es gruesa: se lleva por delante también las inferencias correctas de esa regla, en cualquier parte de la plataforma, y no corrige la relación base que provocó el problema.

Lee la columna regla de cada inferida: cada fila dice qué regla la escribió.

La cascada no se queda en el conjunto de intrusión: si el conjunto se atribuye a su vez a un actor, el motor sube un escalón más. Al final de la cadena puede aparecer un actor usando una herramienta sin que ninguna fuente lo haya escrito jamás, y esa línea punteada se ve igual de firme en una captura de pantalla pegada en un informe.

La analista tiene que mandar el viernes un resumen al comité. Las reglas hicieron bien su trabajo con lo que tenían; el problema es lo que tenían. Una de las inferidas, la de la técnica padre de ARRENDAJO, no depende de la atribución dudosa.