análisis-de-fuentes-de-inteligencia-de-amenazas

Análisis de Fuentes de Inteligencia de Amenazas

Cuándo Usarlo

Use esta habilidad cuando:

• Esté ingiriendo nuevas fuentes de amenazas comerciales u OSINT y evaluando su relación señal/ruido
• Normalice formatos heterogéneos de IOC (STIX 2.1, OpenIOC, YARA, Sigma) en un esquema unificado
• Evalúe la frescura, fidelidad y relevancia de la fuente para el perfil de amenazas de la organización
• Construya tuberías de enriquecimiento automatizadas que correlacionen IOCs contra eventos SIEM

No use esta habilidad para análisis de captura de paquetes en crudo o triaje de incidentes en vivo sin establecer primero una línea base de CTI.

Prerrequisitos

• Acceso a una Plataforma de Inteligencia de Amenazas (TIP) como ThreatConnect, MISP u OpenCTI
• Claves API para al menos una fuente comercial (Recorded Future, Mandiant Advantage o VirusTotal Enterprise)
• Librería cliente TAXII 2.1 (paquete Python taxii2-client o equivalente)
• Rol con permisos de lectura/escritura en la base de datos de indicadores del TIP

Flujo de Trabajo

Paso 1: Enumerar y Priorizar Fuentes de Datos

Enumere todas las fuentes disponibles categorizadas por tipo (comercial, gubernamental, ISAC, OSINT):

• Comerciales: Recorded Future, Mandiant Advantage, CrowdStrike Falcon Intelligence
• Gubernamentales: CISA AIS (Automated Indicator Sharing), FBI InfraGard, MS-ISAC
• OSINT: AlienVault OTX, Abuse.ch, PhishTank, Emerging Threats

Puntúe cada fuente según: frecuencia de actualización, tasa histórica de precisión, cobertura de su sector y profundidad de atribución. Use una matriz de puntuación ponderada con criterios de NIST SP 800-150 (Guía para Compartir Información de Ciberamenazas).

Paso 2: Ingesta vía TAXII 2.1 o API

Para fuentes compatibles con TAXII:

taxii2-client discover https://feed.example.com/taxii/
taxii2-client get-collection --collection-id <id> --since 2024-01-01

Para fuentes con API REST (ej. Recorded Future):

• Consulte /v2/indicator/search con risk_score_min=65 para filtrar IOCs de baja confianza
• Aplique limitación de tasa y retroceso exponencial para resiliencia de API

Paso 3: Normalizar a STIX 2.1

Convierta cada IOC a objetos STIX 2.1 usando el esquema estándar de OASIS:

• Dirección IP → objeto indicator con pattern: "[ipv4-addr:value = '...']"
• Dominio → indicator con pattern: "[domain-name:value = '...']"
• Hash de archivo → indicator con pattern: "[file:hashes.SHA-256 = '...']"

Adjunte objetos relationship que vinculen indicadores a objetos threat-actor o malware. Use el campo confidence (0–100) basado en la calificación de fidelidad de la fuente.

Paso 4: Deduplicar y Enriquecer

Ejecute deduplicación contra la base de datos TIP existente usando el valor normalizado + tipo como clave compuesta. Enriquezca los IOCs supervivientes:

• VirusTotal: tasa de detección, informes de comportamiento en sandbox
• PassiveTotal (RiskIQ): historial WHOIS, DNS pasivo, cadenas de certificados SSL
• Shodan: datos de banner, puertos abiertos, ubicación geográfica

Paso 5: Distribuir a Sistemas Consumidores

Exporte indicadores enriquecidos vía push TAXII 2.1 a SIEM (Splunk, Microsoft Sentinel), firewalls (playbooks de Palo Alto XSOAR) y plataformas EDR. Configure TTL (tiempo de vida) por tipo de indicador: direcciones IP 30 días, dominios 90 días, hashes de archivo 1 año.

Conceptos Clave

Término	Definición
STIX 2.1	Structured Threat Information Expression — esquema JSON estándar de OASIS para objetos CTI que incluye indicadores, actores de amenaza, campañas y relaciones
TAXII 2.1	Trusted Automated eXchange of Intelligence Information — protocolo basado en HTTPS para intercambiar contenido STIX entre servidores y clientes
IOC	Indicator of Compromise — artefacto observable (IP, dominio, hash, URL) que indica que un sistema puede haber sido comprometido
TLP	Traffic Light Protocol — clasificación codificada por colores (ROJO/ÁMBAR/VERDE/BLANCO) que define restricciones de compartición para CTI
Puntuación de Confianza	Valor numérico (0–100 en STIX) que refleja la certeza del productor sobre la atribución maliciosa de un indicador
Fidelidad de la Fuente	Tasa histórica de precisión de una fuente medida por la tasa de verdaderos positivos en detecciones de producción

Herramientas y Sistemas

• ThreatConnect TC Exchange: Agrega más de 100 fuentes comerciales y OSINT; proporciona playbooks automatizados para enriquecimiento de IOCs
• MISP (Malware Information Sharing Platform): TIP de código abierto compatible con STIX/TAXII; ampliamente utilizado por ISACs y CERTs gubernamentales
• OpenCTI: Plataforma de código abierto con integración nativa de MITRE ATT&CK y visualización de relaciones basada en grafos
• Recorded Future: Fuente comercial con puntuación de riesgo impulsada por IA y monitoreo en tiempo real de la dark web
• taxii2-client: Librería Python para operaciones cliente TAXII 2.0/2.1 (pip install taxii2-client)
• PyMISP: API Python para gestión de fuentes MISP y envío de IOCs

Errores Comunes

• Obsolescencia de IOCs: Las direcciones IP y dominios rotan con frecuencia; aplicar IOCs de un año genera falsos positivos. Aplique políticas TTL.
• Falta de contexto: Bloquear un IOC sin entender la campaña o adversario asociado puede interrumpir el tráfico empresarial legítimo (ej. IPs de CDN compartidas con actores maliciosos).
• Superposición de fuentes sin deduplicación: Ingerir el mismo IOC de cinco fuentes sin deduplicación infla los recuentos de indicadores y la complejidad de las reglas SIEM.
• Violación de TLP: Redistribuir inteligencia clasificada como ROJO fuera de los límites autorizados viola acuerdos de compartición y relaciones de confianza.
• Bloqueo excesivo de indicadores de baja confianza: Los indicadores con confianza inferior a 50 deben activar reglas solo de detección, no de bloqueo, para evitar interrupciones operativas.