STIX y TAXII: Cómo compartir inteligencia de amenazas
STIX y TAXII comienza con una pregunta o comportamiento a identificar, continúa con la definición de telemetría y lógica, y termina con pruebas, ajuste, documentación y despliegue controlado. La calidad se mide por la cobertura y la capacidad de investigación.
Threat Hunting y Detection Engineering transforman el conocimiento sobre el comportamiento del adversario en preguntas medibles, fuentes de datos y reglas de detección. El objetivo no es generar más alertas, sino mejorar la cobertura y la calidad de la decisión. El presente artículo se centra en STIX y TAXII y está dirigido a analistas y personal de integración. El objetivo es proporcionar una metodología de trabajo que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.
El principal desafío es que los datos son casi siempre parciales. Los objetos, relaciones y paquetes de STIX pueden apuntar a una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para la finalización.
El escenario práctico en el artículo es: mapeo de un IOC simulado a objetos STIX. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.
