Extraer y compartir indicadores

De todo lo observado en una muestra, entra lo que describe a la muestra y a la infraestructura de quien la envía: huellas, dominios y direcciones del atacante, claves de registro, marcas en memoria. No entra lo interno (nombres de equipos, cuentas, rutas, identificadores de sistemas propios, a quién iba dirigido) ni lo que la muestra solo nombra o toca y es legítimo, como la lista de revocación de un certificado.

Cada indicador viaja con contexto mínimo: su tipo, qué confianza se tiene, cuándo se dio de alta y cuándo caduca. Un valor sin caducidad acaba bloqueando infraestructura que ya cambió de dueño.

Los borradores se revisan buscando justo lo que no debe salir: son las filtraciones más tontas y más frecuentes. Un resumen que cuenta cómo llegó el correo puede arrastrar el nombre de la persona destinataria, el equipo donde se abrió o el identificador de la cuarentena. Quien recibe la ficha no necesita saberlo y quien la envía pierde algo que no se recupera.

Abre borrador-comunidad.txt y contrástalo con la política.

Un dominio o una URL en un correo, en un informe o en un chat puede abrirse de un clic, con un lector que lo convierte en enlace. Para que nadie acabe visitando por descuido la infraestructura del atacante, los indicadores de red se comparten «desarmados»: el protocolo http se escribe hxxp y el punto del nombre de dominio va entre corchetes. Una persona lo lee y lo restituye; un programa de correo no lo convierte en enlace.

La forma debe ser completa: si solo se cambia una parte, el resto se sigue pudiendo abrir.

El protocolo de semáforo TLP (versión 2.0, de FIRST) pone una etiqueta a cada documento que dice hasta dónde puede circular: de más a menos restrictivo, ROJO (solo las personas a las que se dirige), ÁMBAR (dentro de la organización y de sus clientes, con variante estricta solo dentro de la organización), VERDE (la comunidad, no los canales públicos) y CLEAR (sin límite). La etiqueta la pone quien comparte y quien recibe debe respetarla.

La política de cada organización dice qué etiqueta corresponde a cada destinatario. Un borrador con una etiqueta más abierta de la permitida no es un fallo de estilo: autoriza a quien lo reciba a publicarlo.

Cada tipo de indicador envejece a su ritmo: una dirección IP se reasigna en días; un nombre de dominio dura más; una marca interna del programa, mucho más. La política fija la caducidad por tipo y se cuenta desde el alta. Dejarla en blanco, como en el borrador, obliga a quien reciba la ficha a decidir por su cuenta cuánto tiempo fiarse.