Panorama#

El capítulo 1.3 terminó con un juicio: una afirmación sobre qué está ocurriendo, sostenida por evidencia que discrimina, expresada con su probabilidad y su confianza declaradas por separado. Ese juicio, mientras siga dentro de la cabeza del analista o dentro de un documento que nadie abrió, vale exactamente lo mismo que no haberlo producido. La diseminación es la fase donde el ciclo se cobra o se pierde, y es también la que menos atención recibe, porque parece administrativa: ya se hizo el trabajo difícil, ahora solo hay que mandarlo.

Esa impresión es falsa por una razón estructural. La inteligencia producida tiene que llegar a dos destinatarios de naturaleza incompatible. Uno es una máquina: un SIEM que correlaciona, un EDR que bloquea, un proxy que resuelve una lista, un motor de reglas que evalúa cada archivo entrante. Ese destinatario no entiende prosa, no tolera ambigüedad y no puede preguntar. El otro es una persona que decide: un analista de guardia, un responsable de respuesta, un director que asigna presupuesto. Ese destinatario no puede consumir cien mil observables, necesita contexto, y lo que le hace falta es precisamente lo que la máquina descarta.

De ahí la tesis del capítulo: el estándar existe para que la inteligencia llegue a una máquina sin pasar por un humano, y el informe existe para que llegue a un humano que decide; son dos productos distintos, y confundirlos es el fallo de diseminación más común. Es la misma familia del «fallo de nivel» que 1.1 señaló como el error más caro del campo —producir para un consumidor y entregárselo a otro—, ahora en su forma de formato en lugar de su forma de altitud. Un informe ejecutivo de veinte páginas enviado al SOC se archiva sin leerse; un volcado de cuarenta mil direcciones IP enviado a la dirección no produce ninguna decisión. En los dos casos el ciclo se completó formalmente y no cambió nada.

La segunda tesis es sobre la unidad misma que se disemina: un indicador sin contexto ni caducidad es deuda operativa. Cuesta ingerirlo, cuesta almacenarlo, cuesta el falso positivo que genera dentro de seis meses cuando la dirección que lo compone se reasignó a un servicio legítimo, y cuesta la desconfianza que instala en los analistas que lo reciben. La calidad de la diseminación no se mide por volumen entregado sino por lo contrario: por cuánto de lo entregado resultó accionable y por cuánto se retiró a tiempo.

El indicador y sus grados#

Un indicator of compromise (IOC) es un artefacto observable en un sistema o en una red cuya presencia sugiere una intrusión. La definición es deliberadamente débil —«sugiere»— y conviene conservarla así: el indicador es una razón para mirar, no un veredicto. Su valor práctico principal es que ofrece una vía de detección para actividad que todavía no tiene firma: cuando una campaña es nueva, nadie publicó aún una regla del proveedor, pero alguien ya observó el dominio al que llama o la ruta donde deja su carga, y eso se puede buscar hoy.

Los indicadores se ordenan en un continuo que va de lo estático a lo conductual, y ese continuo es el eje que organiza todo lo demás.

Indicadores atómicos. Un hash, una dirección IP, un dominio, una dirección de correo remitente, un nombre de archivo. Su virtud es que se evalúan sin ambigüedad y a costo nulo: una comparación exacta. Su defecto es proporcional: el adversario los cambia sin cambiar nada de su operación. Un hash muere con la primera recompilación.

Indicadores computados. Reglas que derivan de la estructura del artefacto en lugar de su identidad exacta: una firma YARA sobre cadenas y secciones, una expresión regular sobre un patrón de nombres generados, una medida de entropía. Sobreviven a la variante y no al rediseño.

Indicadores conductuales. Afirmaciones sobre lo que el adversario hace, que requieren correlación para evaluarse: un proceso de ofimática que engendra un intérprete de línea de comandos, una cuenta de servicio que recorre un árbol de recursos que su aplicación nunca consulta, tráfico saliente con periodicidad acotada hacia un destino recién registrado. No se comparan, se calculan sobre una ventana de eventos, y por eso su ingesta no es una lista sino una regla.

El material de referencia cataloga alrededor de quince escenarios de este último tipo —anomalías de tráfico saliente, escalada injustificada de privilegios en cuentas conocidas, accesos desde geografías atípicas, volúmenes de lectura masivos sobre una base de datos, modificaciones de claves de registro que solo se detectan comparando contra un perfil limpio, agrupamiento de datos en directorios temporales inusuales— y lo notable es que este manual ya desarrolló cada uno de ellos desde el lado de la telemetría: el tráfico saliente en 5.7, la lectura masiva y el staging en 5.9, el registro y la línea base en 5.2. Lo que aporta este capítulo no es la lista, es qué se hace con ella cuando hay que entregarla a otro.

La razón de ser del continuo ya está establecida en 5.1 con la pirámide del dolor y no se rehace acá. Basta con su consecuencia para la diseminación: lo que sube en la pirámide baja en la automatizabilidad. Un hash se ingiere solo; un comportamiento hay que escribirlo, adaptarlo al esquema de datos local y verificarlo. Un programa que solo disemina lo que se ingiere sin esfuerzo termina diseminando, por construcción, lo que menos daño le hace al adversario.

La caducidad es un atributo del tipo, no una política uniforme. Un hash de una muestra concreta no caduca —el archivo sigue siendo el archivo— pero deja de aparecer. Una dirección IP de infraestructura alquilada caduca en días y se vuelve activamente peligrosa cuando se reasigna. Un dominio registrado por el adversario caduca cuando expira o se incauta. Una regla conductual no caduca en absoluto, pero se degrada si el entorno cambia. Un programa maduro asigna la ventana de vigencia en el momento de crear el indicador, no cuando alguien se queja del falso positivo.

Qué tiene que viajar con el indicador#

El indicador desnudo —una cadena de texto en una lista— es la forma más común de diseminación y la peor. Lo que lo convierte en algo utilizable es el conjunto de atributos que lo acompañan, y cada uno responde a una pregunta que el receptor va a hacerse igual, con o sin respuesta.

Contexto: qué representa. No «esta IP es maliciosa» sino «servidor de mando y control asociado a la familia X observado en la campaña Y». Sin eso, el analista que recibe la alerta no puede decidir su prioridad ni su respuesta.

Procedencia y evaluación: de dónde salió y cuánto se le cree. Acá es donde el código del Almirantazgo que 1.2 desarrolló deja de ser un ejercicio interno y cumple su función real: la calificación tiene que viajar pegada al dato. Un indicador que llega con «fuente B, credibilidad 3» permite una decisión distinta de uno que llega con «fuente A, credibilidad 1», y esa distinción es exactamente la que se pierde cuando una plataforma comercial colapsa las dos dimensiones en un puntaje único de riesgo.

Vigencia: desde cuándo y hasta cuándo. Un indicador sin fecha de expiración no se retira nunca, porque nadie tiene el incentivo de revisarlo.

Relaciones: con qué otros objetos se conecta —el dominio con la muestra, la muestra con el actor, el actor con la campaña—. Es lo que permite el pivoteo que 1.3 identificó como el verdadero valor del modelo del diamante.

Acción sugerida: qué se espera que el receptor haga. Bloquear, alertar, buscar retroactivamente, solo enriquecer. Un mismo indicador con confianza media es un buen candidato de cacería y un pésimo candidato de bloqueo automático, y esa diferencia hay que decirla, no dejarla inferir.

Este conjunto es el que la sección siguiente formaliza. Los estándares no son otra cosa que un acuerdo sobre cómo se escriben estos campos para que dos organizaciones que nunca hablaron entre sí puedan intercambiarlos sin traducción manual.

Los estándares: que la inteligencia llegue a la máquina#

STIX y TAXII#

Structured Threat Information Expression (STIX) es el lenguaje; Trusted Automated Exchange of Intelligence Information (TAXII) es el transporte. La separación es deliberada y conviene retenerla, porque se confunden todo el tiempo: STIX define qué se dice, TAXII define cómo se entrega.

En su versión 2.1, STIX modela el dominio con tres familias de objetos. Los STIX Domain Objects representan los conceptos del análisis: indicator, malware, threat-actor, campaign, intrusion-set, attack-pattern —que es el objeto por el cual una técnica de ATT&CK entra al modelo—, course-of-action, report. Los STIX Cyber-observable Objects representan lo observado sin juicio asociado: un archivo, una dirección de red, un proceso. Y los STIX Relationship Objects conectan los anteriores: indicates, uses, attributed-to, targets.

Esa tercera familia es la que importa y la que casi nadie usa. Un feed que entrega solo observables está entregando la capa que menos vale: lo que hace utilizable a la inteligencia estructurada no son los nodos sino las aristas —que este dominio indica esta familia, que esta familia es usada por este conjunto de intrusión, que este conjunto apunta a este sector—. Un archivo STIX bien construido es un grafo pequeño, no una lista larga.

TAXII 2.1, por su parte, define una API sobre HTTPS con dos modelos de intercambio: collections, donde el consumidor consulta un repositorio y pide lo que necesita, y channels, donde el productor publica y los suscriptores reciben. La diferencia práctica es de latencia y de control: la colección permite filtrar y paginar, el canal permite que un aviso urgente llegue en segundos.

# Un objeto STIX 2.1 mínimo pero completo: el indicador lleva su patrón, su # ventana de vigencia y su relación con lo que indica. Sin la relación, # el observable no es inteligencia: es una cadena de texto. { "type": "indicator", "spec_version": "2.1", "id": "indicator--3f2a1b8c-0d54-4e11-9a77-0c5b2e6d1a90", "created": "2026-07-14T09:12:00.000Z", "modified": "2026-07-14T09:12:00.000Z", "name": "C2 asociado a la campana CTI-2026-014", "description": "Servidor de mando y control observado en tres incidentes del sector. Confianza media: la infraestructura es alquilada y puede reasignarse.", "indicator_types": ["malicious-activity"], "pattern": "[domain-name:value = 'actualizacion-servicio.example']", "pattern_type": "stix", "valid_from": "2026-07-14T00:00:00Z", "valid_until": "2026-08-14T00:00:00Z", "confidence": 60, "labels": ["admiralty:B3", "requerimiento:CTI-014"], "object_marking_refs": ["marking-definition--tlp-amber"] }

Los campos que suelen faltar en los feeds reales son justamente valid_until, confidence y description. Un indicador que llega sin ellos obliga al receptor a inventarlos —una política de expiración global, una confianza por defecto— y esa invención es donde se pierde la calidad que el productor sí tenía.

MISP y el intercambio comunitario#

MISP es la implementación de referencia del intercambio operativo, y su contribución conceptual va más allá del formato. Organiza la información en eventos —un incidente, una campaña, un informe— compuestos por atributos, cada uno con su tipo, su categoría, su marca de compartición y su bandera to IDS, que declara explícitamente si el atributo está pensado para alimentar un motor de detección o solo para contexto. Esa bandera es la formalización directa de la «acción sugerida» de la sección anterior, y su ausencia en otros formatos explica buena parte de los falsos positivos que produce la ingesta automática.

MISP añade además dos mecanismos que la práctica volvió indispensables: la correlación automática entre eventos de distintos orígenes —que revela cuándo dos informes independientes describen la misma infraestructura— y los warning lists, listas de observables notoriamente benignos —resolutores públicos, rangos de proveedores de nube mayoritarios, dominios de servicios masivos— que marcan un atributo como probablemente inútil antes de que llegue al SIEM. Ese segundo mecanismo merece atención: es una defensa explícita contra el problema que 5.8 documentó en su forma más cara, cuando una mala clasificación heredada de un servicio público de reputación se convirtió en un incidente crítico en decenas de organizaciones sin que ningún analista evaluara nada.

OpenIOC, anterior y hoy marginal, conserva un valor histórico que vale mencionar: fue el primer formato que expresó indicadores compuestos —esta ruta Y esta clave de registro Y este nombre de servicio— en lugar de listas planas. La idea sobrevivió aunque el formato no.

Los formatos de detección: la regla como unidad de intercambio#

Los estándares anteriores transportan afirmaciones sobre el mundo. Hay una segunda familia de formatos que transporta algo distinto y más valioso: la detección ya escrita. La diferencia es la que separa «este hash es malicioso» de «así se reconoce esta familia».

YARA opera sobre archivos y contenido. En 1.2 apareció como sensor sobre el flujo de muestras; acá cumple su otro papel, el de formato compartible de detección. Su virtud es que una regla bien escrita declara estructura y no identidad, de modo que sobrevive a la recompilación que mata al hash.

Sigma hace por los registros lo que YARA hace por los archivos, y resuelve un problema específico de la diseminación: hasta su aparición, compartir una detección de comportamiento exigía compartirla en el dialecto de consulta de un producto concreto, lo que la volvía inservible para quien usara otro. Sigma describe la lógica en un esquema neutral y se traduce a la consulta del SIEM de destino. Es el formato que permite que un hallazgo de cacería viaje entre organizaciones, y por eso es el complemento natural del principio de 5.1 según el cual el entregable de una cacería es una regla y no un informe.

Snort y Suricata cumplen el mismo papel sobre el tráfico de red, con la limitación que 5.7 desarrolló: sin inspección de TLS, la firma de contenido pierde casi todo su terreno y lo que queda son las señales de forma.

# Una regla Sigma: la logica se declara en un esquema neutral y el conversor # la traduce al dialecto del SIEM de destino. Eso es lo que hace que una # deteccion de comportamiento sea compartible entre organizaciones. title: Servicio creado con binario en ruta temporal id: 8c1e4b70-2f9a-4c33-9c41-7be0d2a5f118 status: experimental description: Creacion de un servicio cuyo ejecutable reside en un directorio de escritura general, patron asociado a ejecucion remota tipo PsExec. references: - https://attack.mitre.org/techniques/T1543/003/ logsource: product: windows service: system detection: seleccion: EventID: 7045 ruta_sospechosa: ImagePath|contains: - '\Temp\' - '\Users\Public\' - '\ProgramData\' condition: seleccion and ruta_sospechosa falsepositives: - Instaladores de software que despliegan desde un directorio temporal level: high tags: - attack.persistence - attack.t1543.003

El ejemplo no es arbitrario: el evento 7045 es el que 5.6 identificó como de altísima fidelidad por su infrecuencia. Lo que agrega este capítulo es que esa detección, una vez escrita, es un objeto transportable —con su identificador estable, su referencia a ATT&CK, su nivel y, decisivamente, su sección de falsos positivos declarada—. Ese último campo es el que distingue una regla compartida con responsabilidad de una arrojada por encima de la pared.

La plataforma y su tentación#

Una Threat Intelligence Platform (TIP) es la capa que hace operativa toda esta maquinaria. Sus funciones son cuatro: ingerir en formatos heterogéneos, deduplicar y correlacionar —descubriendo que tres fuentes reportan lo mismo, que es la única forma práctica de detectar la confirmación circular que 1.2 señaló—, enriquecer cruzando con registros locales, y exportar hacia los controles: listas al proxy, reglas al SIEM, consultas al EDR.

Su función menos evidente y más valiosa es el pivoteo dirigido por el analista y automatizado: desde un indicador, saltar a todo lo relacionado con él. Es la operación del modelo del diamante convertida en una consulta, y es la razón por la cual una TIP con relaciones pobladas vale mucho más que un repositorio con diez veces más observables sueltos.

La tentación viene después. Una vez que existe el conducto automático, cuesta muy poco cerrarlo del todo: que lo ingerido se convierta directamente en bloqueo. Y ahí es donde la automatización deja de ser una ganancia de eficiencia y se vuelve un amplificador.

Automatizar la ingesta sin resolver los requerimientos produce basura más rápido, y automatizar el bloqueo propaga el error a velocidad de máquina. El caso de 5.8 —decenas de organizaciones investigando un incidente crítico que era telemetría publicitaria mal clasificada en el origen— ocurrió con humanos en el circuito. Con bloqueo automático desde el feed, el mismo error se convierte en una interrupción de servicio simultánea en todas las organizaciones suscritas, sin que nadie haya evaluado nada. La regla de diseño es directa: el bloqueo automático se reserva para indicadores de alta confianza, de origen propio o de fuente con procedencia verificable, y siempre con una vía de reversión rápida. Todo lo demás alerta, enriquece o alimenta una cacería. La reputación de terceros es señal, nunca veredicto —y esta es la fase donde esa distinción se materializa o se pierde—.

El otro producto: el informe para quien decide#

La cita que mejor resume esta mitad del capítulo es también la más incómoda: si la información se entrega en un formato que el receptor no puede usar o no va a entender, el dato se descarta. No se aprovecha parcialmente, no queda archivado para después: se descarta. Todo el costo de colección, procesamiento y análisis se pierde en el último metro.

La consecuencia práctica es que el nivel de inteligencia que 1.1 estableció —táctico, operativo, estratégico— no determina solo el contenido sino el vehículo:

  • El nivel táctico se entrega a máquinas. Su vehículo es STIX sobre TAXII, la regla Sigma, la firma YARA, la lista con su vigencia. Su medida de éxito es la latencia: cuánto pasa entre que alguien lo produce y que un control lo aplica.
  • El nivel operativo se entrega a analistas e investigadores. Su vehículo es un informe técnico con la cadena de comportamiento descrita, mapeada a ATT&CK, con las consultas de cacería sugeridas y la telemetría necesaria para ejecutarlas. Su medida de éxito es si alguien pudo buscar lo que describe.
  • El nivel estratégico se entrega a la dirección. Su vehículo es una nota breve en el idioma en que se asignan recursos: qué cambió, qué riesgo introduce, qué decisión habilita. Su medida de éxito es si alguna decisión se tomó distinto.

Un mismo hallazgo suele tener que producirse tres veces, en tres formatos, para tres consumidores. Eso no es redundancia: es el trabajo.

Sobre la redacción del informe, tres reglas que se derivan de lo anterior y de 1.3. La primera: empezar por la conclusión, con el juicio y su confianza en las primeras líneas; quien decide rara vez llega a la página cuatro. La segunda: separar tipográficamente el hecho del juicio, porque el defecto de redacción más común de los informes de seguridad es enunciar una inferencia con la misma gramática que una observación, y el lector no tiene forma de saber cuál es cuál. La tercera: declarar qué cambiaría el juicio, que es la única manera de que el informe siga vivo cuando llegue evidencia nueva en lugar de convertirse en un documento que hay que defender.

Compartir hacia afuera: comunidad, marcado y sus límites#

El estadio final de madurez que 1.1 describió es el de la organización que además de consumir, produce y comparte. Los vehículos institucionales son los Information Sharing and Analysis Center (ISAC), organizados por sector, y los Information Sharing and Analysis Organization (ISAO), de membresía más flexible. Su valor específico es la pertinencia: una organización del mismo sector es atacada por los mismos actores con los mismos objetivos, de modo que su telemetría tiene, respecto de la propia, una relevancia que ningún feed generalista puede igualar.

El mecanismo que hace posible ese intercambio es el marcado. El Traffic Light Protocol (TLP), en su versión 2.0, define cinco niveles que declaran hasta dónde puede redistribuirse un dato: CLEAR —divulgación sin restricciones—, GREEN —comunidad de pares, no público—, AMBER —la organización del receptor y sus clientes, según necesidad de conocer—, AMBER+STRICT —solo la organización del receptor, sin clientes— y RED —solo los participantes nombrados en el intercambio—. Su función no es criptográfica sino social: el TLP no impide nada técnicamente, establece una expectativa cuyo incumplimiento cuesta el acceso. Y ese es exactamente su punto: en el intercambio de inteligencia, la moneda es la reputación, como ya se argumentó a propósito de las fuentes cerradas en 1.2.

Compartir tiene riesgos propios que la fase de análisis no tiene, y son de tres clases. Primero, lo que el indicador revela sobre uno mismo: un observable acompañado de la ruta interna donde se encontró, del nombre del servidor o del volumen de la exfiltración está describiendo la infraestructura y el nivel de compromiso propios ante un auditorio que no siempre es el previsto. Segundo, lo legal y lo personal: los artefactos de un incidente suelen contener datos de personas —direcciones de correo de empleados, nombres de usuario, contenido de mensajes— y su distribución tiene un régimen que no se resuelve durante el incidente sino antes. Tercero, la velocidad contra la verificación: compartir rápido es el mayor aporte del intercambio comunitario y también su mayor peligro, dado que un juicio prematuro difundido a un sector entero se corrige mucho más despacio de lo que se propaga. La práctica que resuelve los tres es la misma: sanear el indicador antes de emitirlo y emitirlo con su confianza declarada, de modo que la comunidad reciba una hipótesis marcada como hipótesis y no un hecho que después haya que desmentir.

Queda un límite estructural que conviene enunciar sin adornos: el intercambio funciona bajo reciprocidad, y la reciprocidad es difícil de sostener porque los incentivos son asimétricos. Consumir es gratis y producir cuesta; compartir un incidente propio expone, mientras que leer el ajeno no. Las comunidades que funcionan lo hacen porque alguien sostiene la asimetría durante bastante tiempo, no porque el modelo se equilibre solo.

Postura#

Ordenado por retorno sobre el esfuerzo, esto es lo que la fase de diseminación exige:

  1. Definir los dos productos por separado y no dejar que uno se convierta en el subproducto del otro. Lo automatizable se emite en formato de máquina; lo que requiere criterio se escribe para una persona con nombre.
  2. Emitir todo indicador con contexto, procedencia, confianza y vigencia. Es la diferencia entre inteligencia y deuda operativa, y cuesta más barato en el momento de crearlo que en cualquier momento posterior.
  3. Poblar las relaciones, no solo los observables. Un grafo pequeño y conectado vale más que una lista larga y plana, porque es lo único que permite pivotear.
  4. Reservar el bloqueo automático para lo verificable y dejar que el resto alerte, enriquezca o alimente una cacería. El error diseminado a velocidad de máquina es el modo de fallo más caro de esta fase.
  5. Preferir el formato de detección al indicador atómico cuando exista la opción: una regla Sigma o YARA compartida transfiere capacidad, una lista de hashes transfiere una tarea de limpieza.
  6. Marcar todo lo que sale y sanearlo antes de que salga. El TLP no protege por sí solo; la revisión previa sí.
  7. Medir la diseminación por efecto y no por volumen: cuántos indicadores produjeron una detección, cuántos se retiraron al expirar, qué decisiones cambiaron. Es la métrica de efecto que 1.1 opuso a la métrica de actividad, aplicada al último tramo del ciclo.
flowchart TD
  JUI["Juicio analítico (1.3)\ncon probabilidad y confianza"]
  JUI --> MAQ["PRODUCTO A: la MÁQUINA\nsin humano en el circuito"]
  JUI --> HUM["PRODUCTO B: el HUMANO\nque decide"]

  MAQ --> STD["STIX 2.1 (qué se dice)\n+ TAXII 2.1 (cómo se entrega)\nobjetos · observables · RELACIONES"]
  MAQ --> REG["Formatos de detección\nYARA (archivos) · Sigma (logs)\nSuricata (red)"]
  STD --> TIP["TIP / MISP\ningerir · deduplicar · correlacionar\nenriquecer · PIVOTEAR"]
  REG --> TIP
  TIP --> CTRL["Controles: SIEM · EDR · proxy\nalta confianza → bloqueo\nresto → alerta / cacería"]

  HUM --> TAC["Táctico → SOC\nlista con vigencia"]
  HUM --> OPE["Operativo → IR / cacería\ncadena + ATT&CK + consultas"]
  HUM --> EST["Estratégico → dirección\nqué cambió · qué decisión habilita"]

  CTRL --> COM["Compartición externa\nISAC / ISAO · marcado TLP\nsanear ANTES de emitir"]
  EST --> COM
  COM -.->|"realimenta requerimientos (1.1)"| JUI
  CTRL -.->|"lo que disparó y lo que no\n→ retro-hunt (5.7)"| JUI

Cierre#

La diseminación parece la fase mecánica del ciclo y es donde se decide si el ciclo existió. Un programa puede tener requerimientos bien planteados, colección con unicidad auditada y análisis riguroso, y perder todo eso en el último metro por entregar el producto equivocado al consumidor equivocado en el formato equivocado.

Las dos formulaciones que el capítulo deja son simétricas. Sobre el formato: el estándar existe para que la inteligencia llegue a una máquina sin pasar por un humano, y el informe para que llegue a un humano que decide; son dos productos distintos y confundirlos descarta el trabajo de todas las fases anteriores. Sobre la unidad: un indicador sin contexto, sin procedencia y sin caducidad no es inteligencia, es un pasivo que alguien va a tener que depurar.

Con esto el ciclo de 1.1 está recorrido entero. Lo que resta es lo más difícil de todo y no aparece en ningún diagrama del ciclo: que lo diseminado efectivamente cambie algo dentro del centro de operaciones. Ese es el trabajo del capítulo 1.5, donde la inteligencia deja de ser un producto y pasa a ser una regla, una prioridad de parcheo o una hipótesis de cacería —y donde se mide, por fin, si el programa sirvió—.

Referencias#

  • blue-dfir/cti-thomas/cap-02 — Indicators of Compromise: la definición del indicador como artefacto observable, su valor para detectar actividad sin firma previa, la gradación de estáticos a conductuales, el catálogo de escenarios de comportamiento y el argumento sobre la documentación estandarizada como condición de la automatización. La pirámide del dolor no aparece en el original y no se rehace acá: está en 5.1.
  • blue-dfir/cti-thomas/cap-05 — Threat Intelligence Collection and Analysis, la parte reservada: la plataforma de inteligencia como capa de agregación y correlación con el SIEM, el pivoteo dirigido por el analista y automatizado, y las menciones de STIX, TAXII y MISP. Las secciones de colección y evaluación de fuentes se desarrollaron en 1.2 y las analíticas en 1.3.
  • blue-dfir/understand-attackers-rf/cap-01, §Reporting — la adaptación del formato y del nivel técnico a la audiencia consumidora, y la advertencia de que un producto entregado en un formato inutilizable se descarta por completo.
  • STIX 2.1 y TAXII 2.1 (OASIS) — las especificaciones vigentes del lenguaje y del transporte.
  • MISP — eventos, atributos, la bandera to IDS, la correlación entre eventos y las warning lists.
  • Sigma y YARA — los formatos de detección compartible sobre registros y sobre archivos.
  • FIRST — Traffic Light Protocol 2.0 — los cinco niveles de marcado y sus definiciones normativas.