STIX leído como estructura de datos

STIX 2.1 es un estándar de OASIS para describir inteligencia de amenazas. Un paquete no es una lista plana: es un conjunto de objetos, cada uno con su tipo y su identificador. Los que describen cosas (un indicator, un malware, una identity) y los que enlazan (un relationship, un sighting). Un indicador lleva un patrón, la fecha desde la que vale (valid_from), una fecha opcional de fin (valid_until) y una confianza entera (confidence, de 0 a 100) que declara quien lo publicó.

TAXII es otra cosa: el protocolo para intercambiar ese contenido. Un servidor ofrece colecciones y los clientes las leen o publican en ellas. STIX es lo que viaja; TAXII, cómo viaja.

Abre objetos. Cada indicador trae valid_from y, a veces, valid_until. La fecha del caso está en el título del panel: 6 de julio de 2027. Un indicador cuyo valid_until es anterior a esa fecha ya no vale para buscar hacia adelante, aunque siga apareciendo en el paquete: quien publica rara vez retira lo vencido.

Un indicador no dice a qué se refiere: lo dice un objeto relationship. Su relationship_type (por ejemplo, indicates), su source_ref y su target_ref apuntan a identificadores de otros objetos. Para saber de qué malware es un indicador, se busca la relación en relaciones y se lee el nombre del objeto destino en objetos: dos tablas, un salto.

Un paquete trae de todo: indicadores de confianza baja, vencidos y sin fecha de fin. Un criterio de trabajo posible: usar los vigentes a la fecha del caso con confianza de al menos 50. Un valid_until ausente significa que el emisor no declaró fin, y se cuenta como vigente a la espera de revisarlo. Es una consulta con tres condiciones, no una celda.

El indicador indicator--i5 no trae valid_until. En STIX, omitirlo significa que el productor no limitó hasta cuándo vale, no que haya comprobado que vale para siempre. Un indicador sobre una clave del registro de un sistema, publicado hace semanas y nunca revisado, merece que se le ponga una fecha de revisión propia.