Formatos de intercambio, STIX y TAXII

STIX (Structured Threat Information Expression) es un lenguaje para describir inteligencia como objetos con propiedades: indicadores, informes, relaciones, avistamientos. TAXII (Trusted Automated eXchange of Intelligence Information) es el protocolo, sobre HTTPS, con que un cliente consulta o publica esos objetos en un servidor. Ambos son estándares de OASIS y la versión que se lee aquí es la 2.1.

Un servidor TAXII organiza el contenido en colecciones; cada cuenta tiene permiso de lectura, de escritura, de ambos o de ninguno sobre cada colección.

Un objeto indicator lleva un pattern (qué se busca), un valid_from (desde cuándo vale) y, de forma opcional, un valid_until (hasta cuándo). Lleva también una confidence de 0 a 100 y, por referencia, una etiqueta de manejo como las de TLP. Un indicador sin fecha de fin de validez no caduca por sí mismo: alguien tiene que acordarse de retirarlo.

En indicadores_stix, un guion en una columna significa que el valor no está.

La cuenta de la empresa no tiene los mismos permisos en todas las colecciones. Para consumir inteligencia basta leer; para devolver avistamientos o compartir indicadores propios hace falta poder escribir, y eso conviene concederlo solo donde la empresa de verdad aporta.

Consulta colecciones_taxii y mira la columna can_write.

Cada sondeo anota la colección, el momento desde el que se pidió (added_after), cuántos objetos llegaron y el estado. Un sondeo con un error de permisos no trae nada y no cuenta como inteligencia recibida, aunque conste en el registro.

Suma los objetos de los sondeos que terminaron bien.

Si en cada sondeo se descarga toda la colección, se repite trabajo, se saturan el servidor y la red y se vuelven a procesar objetos ya cargados. TAXII permite filtrar la petición por el momento en que se añadió cada objeto.