Resumen

  • La restricción de un elemento IODEF puede proceder de un antecesor. Un elemento hijo también puede establecer una excepción, tanto más estricta como más permisiva.
  • Una copia fiel de nombres, direcciones e indicadores no garantiza que se hayan conservado sus condiciones de difusión. El contexto forma parte de la interpretación.
  • El antiguo valor amber de IODEF no equivale sin más al TLP:AMBER actual, que puede incluir a los clientes. Convertir etiquetas exige revisar su alcance.

Hay dos formas de perder una oportunidad de cooperación. Una consiste en entregar a demasiadas personas un informe que debía circular de manera limitada. La otra, menos visible, consiste en retener un contacto que sí podía compartirse porque venía dentro de un expediente más reservado. Ambas pueden nacer de la misma simplificación: suponer que una sola etiqueta describe todo el documento.

El segundo caso merece atención porque la solución no es simplemente endurecer el primero. Un operador que necesita localizar al equipo adecuado para gestionar un incidente puede beneficiarse de un contacto sin necesitar los detalles sensibles del expediente. Si el sistema no distingue ambos alcances, alguien tendrá que reconstruirlos manualmente o renunciar a ese intercambio. Se trata de una consecuencia operativa plausible, no de una demora medida en una organización concreta.

IODEF hace explícita esta diferencia. El RFC 7970, publicado en noviembre de 2016 y registrado actualmente como Proposed Standard, define la segunda versión de un modelo para representar informes de incidentes e indicadores de seguridad mediante XML. Que una representación facilite el intercambio no significa que cada fragmento sea autónomo. Algunas de sus condiciones llegan del lugar que ocupa en el conjunto. RFC 7970, registro oficial.

El hijo no siempre es más restrictivo

La sección 3.3.1 establece que restriction expresa las indicaciones del remitente sobre divulgación para una clase y sus descendientes. Los hijos pueden sustituir esa indicación por otra más restrictiva o más permisiva. Cuando no existe un atributo local, se hereda el valor del antecesor más cercano que lo haya especificado. La regla general asigna a Incident el valor predeterminado private.

Un ejemplo hipotético permite ver el efecto sin confundirlo con un incidente real. Un Incident marcado explícitamente private contiene un Contact marcado public. Esa excepción puede indicar que la información de contacto es difundible, sin extender la apertura al expediente entero. También cabe la situación inversa: un incidente destinado a colaboradores contiene un contacto private. El formato expresa la orientación del remitente; no demuestra que este posea todos los derechos necesarios para divulgar los datos. RFC 7970, sección 3.3.1.

Aplicar a todos los elementos la etiqueta más restrictiva puede ser una política conservadora elegida por la entidad receptora. No es una lectura exacta de las excepciones que contiene el documento. Presentar esa decisión como si viniera impuesta por la estructura borra su coste: las partes deliberadamente compartibles dejan de estar disponibles para usos legítimos de cooperación.

Por otra parte, mostrar únicamente la etiqueta superior puede ocultar restricciones internas. La pregunta para quien diseña o compra una herramienta no debería limitarse a si muestra una marca de confidencialidad. Debe aclarar si la marca representa el contenedor, una decisión local sobre todo el expediente o la condición efectiva del fragmento seleccionado. Son respuestas distintas, aunque quepan en el mismo espacio de la pantalla.

Copiar el dato no basta

Supongamos ahora que un Contact no tiene restricción propia y se encuentra en un incidente partner. Su interpretación depende de la regla heredada. Si se envían su nombre, dirección y función a un sistema de incidencias sin conservar el contexto, las tres piezas pueden ser correctas y, aun así, el receptor no disponer de la información necesaria para decidir a quién reenviarlas.

Esta posibilidad no implica una vulnerabilidad demostrada de un producto. Tampoco exige que el XML de origen esté mal formado. Es el resultado de separar un elemento de una relación que contribuía a darle significado. Una revisión que compara únicamente los valores copiados podría pasar por alto precisamente lo que se ha perdido.

El valor explícito default introduce otra referencia. En IODEF remite a una política de divulgación acordada de antemano entre las partes. No significa que el atributo haya sido omitido. Ante la omisión, interesa localizar el antecesor; ante default, interesa localizar el acuerdo. Sustituir ambos por «usar la configuración predeterminada» de una aplicación puede introducir una política local que el remitente nunca invocó. Registro Restriction de IANA.

Conviene no convertir esta explicación en una afirmación excesiva sobre todas las clases. Algunas descripciones particulares de valores predeterminados requieren conciliación con la regla general y el esquema. Por esa razón, los ejemplos anteriores utilizan Contact y atributos explícitos, sin presentar como resuelta toda omisión en EventData o Expectation. Un perfil de intercambio puede documentar valores claros y una interpretación común. Eso no lo convierte en una corrección oficial del RFC.

Las palabras conocidas también cambian de alcance

La jerarquía no es la única fuente de contexto. En el registro IANA consultado, los alias de color de IODEF mantienen sus definiciones: white equivale a public; green, a partner; amber, a need-to-know; y red, a private. El alcance de need-to-know está dentro de la organización, entre quienes necesitan conocer la información. IANA.

FIRST define un límite relevante diferente en TLP 2.0, la versión vigente desde agosto de 2022. TLP:AMBER admite la difusión necesaria para proteger a la organización receptora y a sus clientes, dentro de ambas poblaciones. TLP:AMBER+STRICT la restringe a la organización. La fuente puede añadir condiciones; si hace falta difundir más ampliamente, debe obtenerse su permiso explícito. Las etiquetas conservan su forma original incluso cuando el contenido está en español. FIRST TLP 2.0.

Por tanto, cambiar el antiguo amber por TLP:AMBER sin más calificación podría ampliar la audiencia a los clientes. Esta es una inferencia al comparar definiciones públicas, no la constatación de una fuga ni una propuesta de correspondencia universal aprobada. Las instrucciones adicionales y la definición de la organización siguen importando. La semejanza visual sirve para reconocer una familia de términos, pero no para autorizar una ampliación de destinatarios.

El responsable de una tabla de correspondencias puede estar tomando una decisión de divulgación aunque su tarea figure como mantenimiento de formatos. Ese es el punto de control relevante: quién puede alterar el significado de la salida y quién comprueba sus efectos. Si nadie reconoce la decisión, es difícil exigir que alguien conserve su justificación.

Un esquema válido no interpreta el acuerdo

El propio RFC 7970 separa la forma de la validez semántica. La sección 4.3 exige XML bien formado, recomienda la conformidad con el esquema y recuerda que deben considerarse las restricciones adicionales del modelo de información. Superar una validación de estructura no resuelve todas las condiciones de uso.

La errata técnica 5543, verificada en noviembre de 2018, ofrece una ilustración acotada. Corrige el esquema de Confidence para admitir el contenido numérico previsto en el texto. Eso arregla una inconsistencia de representación; no asigna a los números una interpretación común. El significado de la confianza numérica queda fuera de la definición del RFC. Una recepción técnicamente correcta puede seguir necesitando un acuerdo operativo. Errata 5543, RFC 7970.

La errata tampoco decide los valores predeterminados de restriction. Utilizar una corrección concreta como certificado general de que ya no existen cuestiones interpretativas repetiría el error que se intenta evitar. Los problemas sintácticos, las dudas sobre el modelo y los acuerdos desconocidos deben poder distinguirse, porque no se resuelven de la misma manera.

La recepción segura es solo una etapa

IODEF exige que el intercambio subyacente aporte confidencialidad, integridad y autenticidad. A la vez, reconoce que las indicaciones de divulgación no incluyen un mecanismo técnico que garantice su cumplimiento por el receptor. El análisis de privacidad abarca los informes almacenados, los resultados derivados y la información de terceros. Los identificadores pueden revelar más cuando se correlacionan después de varios intercambios. RFC 7970, sección 9.

El RFC 6545 sobre RID trata los acuerdos de privacidad y los perfiles de compartición desde otra perspectiva: qué datos pueden circular, cómo deben protegerse, hasta dónde pueden reenviarse y qué aprobaciones intervienen. También contempla informar de una acción de mitigación sin revelar la identidad del origen. La utilidad de colaborar no exige siempre entregar todos los detalles disponibles. Además, proteger cada salto de transporte no determina por sí solo la visibilidad a lo largo de todo el intercambio. Son observaciones de diseño, no autorizaciones jurídicas aplicables hoy en cualquier lugar. RFC 6545, secciones 9.5–9.6.

La propuesta operativa de este análisis es revisar la extracción como una salida con condiciones propias. Debe poder explicarse su restricción efectiva, la procedencia de esa restricción y el acuerdo o versión de vocabulario que se ha utilizado. No se prescribe copiar el expediente sensible entero a todos los sistemas ni se atribuye al RFC un registro de auditoría obligatorio que no define. Se pide conservar lo suficiente para justificar la interpretación.

La distinción de Lu Heng entre representación simbólica y poder ejecutable resulta útil como lente limitada. La etiqueta describe una frontera; el programa de extracción, la persona que aprueba los destinatarios y las prácticas del receptor contribuyen a hacerla efectiva. Esta aplicación no supone que Lu Heng analizara IODEF ni convierte su ensayo en un dictamen sobre permisos. Ayuda a localizar la decisión que un rótulo puede ocultar. Lu Heng sobre las capas de realidad.

Una cooperación bien delimitada necesita compartir lo apropiado, no simplemente compartir mucho o poco. El fragmento puede salir del expediente. La explicación de por qué puede salir no debería quedarse abandonada dentro.