misp/misp-taxonomiesTaxonomías utilizadas en el sistema de taxonomía MISP y que pueden ser utilizadas por otras herramientas de intercambio de información.
MISP Taxonomies es un conjunto de bibliotecas de clasificación comunes para etiquetar, clasificar y organizar información. La taxonomía permite expresar el mismo vocabulario entre un conjunto distribuido de usuarios y organizaciones.
Las taxonomías que pueden utilizarse en MISP y en otras herramientas de intercambio de información se expresan en Machine Tags (Triple Tags). Una machine tag se compone de un namespace (MUST), un predicado (MUST) y un valor (OPTIONAL). Las machine tags a menudo se denominan triple tags debido a su formato.
Las siguientes taxonomías pueden utilizarse en MISP (como etiquetas locales o distribuidas) o en otras herramientas y software que deseen compartir taxonomías comunes entre herramientas de intercambio de información de seguridad.
CERT-XLM : Clasificación de incidentes de seguridad CERT-XLM. Descripción general
DFRLab-dichotomies-of-disinformation : Dicotomías de la desinformación de DFRLab. Descripción general
DML : El modelo Detection Maturity Level (DML) es un modelo de madurez de capacidades para referenciar la madurez de una organización en la detección de ciberataques. Está diseñado para organizaciones que realizan detección y respuesta basadas en inteligencia y que ponen énfasis en contar con un programa de detección maduro. Descripción general
GrayZone : La zona gris de la defensa activa incluye todos los elementos que se sitúan entre los elementos de defensa reactiva y las operaciones ofensivas. Cubre el espacio gris que existe entre ambas. Esta taxo puede utilizarse para la planificación o el modelado de la defensa activa. Descripción general
PAP : El Protocolo de Acciones Permitidas (Permissible Actions Protocol, o PAP, en su forma abreviada) fue diseñado para indicar cómo puede utilizarse la información recibida. Descripción general
access-method : El método de acceso utilizado para acceder remotamente a un sistema. Descripción general
accessnow : Clasificación de Access Now para clasificar un asunto (como seguridad, derechos humanos o derechos de la juventud). Descripción general
acn : Taxonomía cibernética para la Agencia Nacional de Ciberseguridad Italiana (ACN) Descripción general
acs-marking : El tipo de marcado de la Especificación de Control de Acceso (ACS) define los tipos de objeto necesarios para implementar sistemas automatizados de control de acceso basados en las políticas pertinentes que rigen el intercambio entre participantes. Descripción general
action-taken : Acción realizada en caso de un incidente de seguridad (perspectiva CSIRT). Descripción general
admiralty-scale : La Escala del Almirantazgo o Ranking (también llamada Sistema de la OTAN) se utiliza para clasificar la fiabilidad de una fuente y la credibilidad de una información. Referencia basada en FM 2-22.3 (FM 34-52) HUMAN INTELLIGENCE COLLECTOR OPERATIONS y documentos de la OTAN. Descripción general
adversary : Resumen y descripción de la infraestructura del adversario Descripción general
agent-threat-rules : Agent Threat Rules (ATR) es un estándar abierto de detección de amenazas contra agentes de IA publicado bajo Apache 2.0. La taxonomía organiza 330 reglas mantenidas por la comunidad en diez categorías de ataque que cubren inyección de indicaciones (prompt injection), envenenamiento de herramientas, compromiso de habilidades, exfiltración de contexto, manipulación de agentes, escalada de privilegios, autonomía excesiva, abuso de modelos, seguridad de modelos y envenenamiento de datos. Los predicados nombran la categoría; los valores son identificadores individuales de reglas con el formato ATR-YYYY-NNNNN. Descripción general
ai-bias-terminology : Una lista de definiciones independientes para cada tipo de sesgo. Términos agregados de uso común o relevantes para el sesgo en IA. De NIST.SP.1270-draft (2021) Descripción general
ai-computer-assisted : Taxonomía que describe el nivel de asistencia de IA y el nivel de revisión/actualización implicado en la creación de un paquete de inteligencia o evento. Descripción general
ai-safety-benchmark : Benchmark de seguridad de IA v0.5, creado por el MLCommons AI Safety Working Group (WG) Descripción general
ais-marking : La implementación del AIS Marking Schema es mantenida por el National Cybersecurity and Communication Integration Center (NCCIC) del Departamento de Seguridad Nacional de los Estados Unidos (DHS) Descripción general
analyst-assessment : Una serie de predicados de evaluación que describen las capacidades del analista para realizar análisis. Estas evaluaciones pueden ser asignadas por el propio analista o por otra parte que evalúe al analista. Descripción general
anti-piracy : Taxonomía contra la piratería Descripción general
approved-category-of-action : Una categoría de acción preaprobada para indicadores compartidos con socios (MIMIC). Descripción general
artificial-satellites : Esta taxonomía fue diseñada para describir satélites artificiales Descripción general
aviation : Una taxonomía que describe amenazas o incidentes de seguridad contra el sector de la aviación. Descripción general
binary-class : Taxonomía personalizada para tipos de archivo binario. Descripción general
cccs : Taxonomía interna para CCCS. Descripción general
ce-uas-classification : Clasificación de drones de la Unión Europea (EASA) - C0 a C6. Descripción general
circl : Taxonomía CIRCL - Esquemas de clasificación en respuesta a incidentes y detección. Descripción general
cloud-sovereignty : Objetivos de soberanía en la nube, niveles de aseguramiento y ponderaciones de puntuación derivados del Marco de Soberanía en la Nube de la Comisión Europea. Descripción general
cnsd : La presente taxonomia es la primera versión disponible para el Centro Nacional de Seguridad Digital del Perú. Descripción general
coa : Curso de acción adoptado dentro de la organización para descubrir, detectar, denegar, interrumpir, degradar, engañar y/o destruir un ataque. Descripción general
collaborative-intelligence : El lenguaje de apoyo a la inteligencia colaborativa es un lenguaje común para ayudar a los analistas a realizar sus análisis y obtener apoyo colectivo (crowdsourcing) al utilizar plataformas de intercambio de inteligencia de amenazas como MISP. El objetivo de este lenguaje es impulsar el análisis colaborativo y compartir la información cuanto antes. Descripción general
common-taxonomy : Taxonomía común para las fuerzas y cuerpos de seguridad y los CSIRT Descripción general
copine-scale : La escala COPINE es un sistema de valoración creado en Irlanda y utilizado en el Reino Unido para categorizar la gravedad de las imágenes de abuso sexual infantil. La escala fue desarrollada por el personal del proyecto COPINE (Combating Paedophile Information Networks in Europe). El Proyecto COPINE se fundó en 1997 y tiene su sede en el Departamento de Psicología Aplicada del University College Cork, Irlanda. Descripción general
course-of-action : Un análisis de Curso de Acción considera seis cursos de acción potenciales para el desarrollo de una capacidad de ciberseguridad. Descripción general
crowdsec : Taxonomía de clasificaciones de direcciones IP y comportamientos de Crowdsec. Descripción general
cryptocurrency-threat : Amenazas dirigidas a criptomonedas, basadas en el informe de CipherTrace. Descripción general
csirt-americas : Taxonomía CSIRT Américas. Descripción general
csirt_case_classification : Es fundamental que el CSIRT brinde una respuesta coherente y oportuna al cliente y que la información sensible se maneje de manera adecuada. Este documento proporciona las directrices necesarias para que los Gestores de Incidentes (IM) del CSIRT clasifiquen la categoría del caso, el nivel de criticidad y el nivel de sensibilidad de cada caso del CSIRT. Esta información se introducirá en el Sistema de Seguimiento de Incidentes (ITS) cuando se cree un caso. Se requiere una clasificación coherente de los casos para que el CSIRT pueda proporcionar informes precisos a la dirección de forma periódica. Además, las clasificaciones proporcionarán a los IM del CSIRT los procedimientos adecuados de gestión de casos y constituirán la base de los SLA entre el CSIRT y otros departamentos de la empresa. Descripción general
cssa : La taxonomía de intercambio acordada por CSSA. Descripción general
cti : Ciclo de inteligencia de amenazas cibernéticas para controlar el estado del flujo de trabajo de su proceso. Descripción general
current-event : Eventos actuales - Esquemas de clasificación en respuesta a incidentes y detección Descripción general
cyber-threat-framework : El Cyber Threat Framework fue desarrollado por el Gobierno de los Estados Unidos para permitir una caracterización y categorización coherente de los eventos de ciberamenazas, e identificar tendencias o cambios en las actividades de los adversarios cibernéticos. https://www.dni.gov/index.php/cyber-threat-framework Descripción general
cycat : Taxonomía utilizada por CyCAT, el Catálogo Universal de Recursos de Ciberseguridad, para categorizar los namespaces que admite y utiliza. Descripción general
cytomic-orion : Taxonomía para describir las acciones deseadas para Cytomic Orion Descripción general
dark-web : Detección de la motivación criminal y de contenido en la dark web: un modelo de categorización para las fuerzas y cuerpos de seguridad. ref: Janis Dalins, Campbell Wilson, Mark Carman. Taxonomía actualizada por el Proyecto MISP y ampliada por el JRC (Joint Research Centre) de la Comisión Europea. Descripción general
data-classification : Clasificación de datos para datos potencialmente en riesgo de exfiltración basada en la tabla 2.1 del libro Solving Cyber Risk. Descripción general
dcso-sharing : Taxonomía definida en la Guía de Eventos MISP de DCSO. Proporciona orientación para la creación y el consumo de eventos MISP de manera que minimice el esfuerzo adicional para la parte emisora, al tiempo que aumenta la utilidad para las partes receptoras. Descripción general
ddos : La taxonomía Distributed Denial of Service - o en forma abreviada: DDoS - permite describir ataques de denegación de servicio y, especialmente, los tipos a los que pertenecen. Descripción general
de-vs : Marcas de clasificación del Gobierno alemán (DE) (VS). Descripción general
death-possibilities : Taxonomía de posibilidades de muerte Descripción general
deception : El engaño es un componente importante de las operaciones de información, valioso tanto para la ofensiva como para la defensiva. Descripción general
detection-engineering : Taxonomía relacionada con las técnicas de ingeniería de detección Descripción general
dga : Una taxonomía para describir algoritmos de generación de dominios, a menudo llamados DGA. Ref: A Comprehensive Measurement Study of Domain Generating Malware Daniel Plohmann y otros. Descripción general
dhs-ciip-sectors : Sectores críticos del DHS según https://www.dhs.gov/critical-infrastructure-sectors Descripción general
diamond-model : El Modelo de Diamante para el Análisis de Intrusiones establece el elemento atómico básico de cualquier actividad de intrusión, el evento, compuesto por cuatro características principales: adversario, infraestructura, capacidad y víctima. Descripción general
diamond-model-for-influence-operations : El modelo de diamante para el análisis de operaciones de influencia es un marco que guía a analistas e investigadores hacia una comprensión integral de una campaña de influencia maliciosa al abordar los aspectos sociopolíticos, técnicos y psicológicos de la campaña. El modelo de diamante para el análisis de operaciones de influencia consta de 5 componentes: 4 esquinas y un elemento central. Las 4 esquinas se dividen en 2 ejes: influenciador y audiencia en el eje sociopolítico; capacidades e infraestructura en el eje técnico. La narrativa constituye el núcleo del diamante. Descripción general
dni-ism : Un subconjunto de los Metadatos de Marcado de Seguridad de la Información (ISM) según lo requerido por la Orden Ejecutiva (EO) 13526. Tal como lo describe DNI.gov como Especificaciones de Codificación de Datos para los Metadatos de Marcado de Seguridad de la Información en Valores de Vocabulario Controlado para ISM Descripción general
domain-abuse : Abuso de nombres de dominio - taxonomía para etiquetar nombres de dominio utilizados para ciberdelincuencia. Descripción general
doping-substances : Esta taxonomía tiene como objetivo enumerar sustancias dopantes Descripción general
drugs : Una taxonomía basada en la superclase y la clase de fármacos. Basada en https://www.drugbank.ca/releases/latest Descripción general
economical-impact : El impacto económico se refiere a una taxonomía utilizada para describir si los efectos financieros son resultados positivos o negativos relacionados con la información etiquetada. Por ejemplo, la pérdida por exfiltración de datos representa un resultado positivo para un adversario. Resumen
ecsirt : Clasificación de incidentes por la versión mkVI de ecsirt.net del 31 de marzo de 2015, enriquecida con el mapeo de tipos de taxonomía de IntelMQ. Resumen
enisa : La presente taxonomía de amenazas es una versión inicial que se ha desarrollado sobre la base del material disponible de ENISA. Este material se ha utilizado como ayuda interna de estructuración de ENISA para fines de recopilación de información y consolidación de amenazas. Surgió en el período 2012-2015. Resumen
ensoc : Taxonomía oficial de ENSOC (o EU CyberHUB) que cubre todas las etiquetas utilizadas durante el intercambio de información. Resumen
estimative-language : Lenguaje estimativo para describir la calidad y credibilidad de las fuentes subyacentes, los datos y las metodologías, basado en la Directiva 203 de la Comunidad de Inteligencia (ICD 203) y el JP 2-0, Inteligencia Conjunta Resumen
eu-ai-act : Taxonomía para la Ley de Inteligencia Artificial de la UE (Reglamento (UE) 2024/1689). Clasifica los sistemas de IA por nivel de riesgo, prácticas prohibidas, casos de uso de alto riesgo y tipos de incidentes para la elaboración de informes de GRC y SOC. Resumen
eu-marketop-and-publicadmin : Operadores de mercado y administraciones públicas que deben cumplir algunos requisitos de notificación en virtud de la directiva NIS de la UE Resumen
eu-nis-sector-and-subsectors : Sectores, subsectores y servicios digitales identificados por la Directiva NIS Resumen
euci : La información clasificada de la UE (EUCI) significa cualquier información o material designado mediante una clasificación de seguridad de la UE, cuya divulgación no autorizada podría causar diversos grados de perjuicio a los intereses de la Unión Europea o de uno o más de los Estados miembros. Resumen
europol-event : Esta taxonomía fue diseñada para describir el tipo de eventos Resumen
europol-incident : Esta taxonomía fue diseñada para describir el tipo de incidentes por clase. Resumen
event-assessment : Una serie de predicados de evaluación que describen la evaluación de eventos realizada para emitir juicios bajo un cierto nivel de incertidumbre. Resumen
event-classification : Clasificación de eventos tal como se ve en herramientas como RT/IR, MISP y otras Resumen
exercise : Exercise es una taxonomía para describir si la información forma parte de uno o más ejercicios cibernéticos o de crisis. Resumen
extended-event : Razones por las que un evento ha sido ampliado. Esta taxonomía debe utilizarse en el evento ampliado. El aspecto del análisis competitivo proviene de Psychology of Intelligence Analysis de Richard J. Heuer, Jr. ref:http://www.foo.be/docs/intelligence/PsychofIntelNew.pdf Resumen
failure-mode-in-machine-learning : El propósito de esta taxonomía es tabular de forma conjunta ambos modos de fallo en un solo lugar. Fallos intencionales en los que el fallo es causado por un adversario activo que intenta subvertir el sistema para alcanzar sus objetivos – ya sea clasificar erróneamente el resultado, inferir datos privados de entrenamiento o robar el algoritmo subyacente. Fallos no intencionales en los que el fallo se debe a que un sistema de ML produce un resultado formalmente correcto pero completamente inseguro. Resumen
false-positive : Esta taxonomía tiene como objetivo estimar de forma aproximada la cantidad esperada de falsos positivos. Resumen
file-type : Lista de tipos de archivo conocidos. Resumen
financial : Taxonomía financiera para describir servicios financieros, infraestructura y alcance financiero. Resumen
flesch-reading-ease : Flesch Reading Ease es un sistema revisado para determinar la dificultad de comprensión del material escrito. La puntuación de la escala Flesch puede tener un máximo de 121,22 y no hay límite sobre lo baja que puede ser una puntuación (las puntuaciones negativas son válidas). Resumen
fpf : La taxonomía de la Future of Privacy Forum (FPF) guía visual para la desidentificación práctica se utiliza para evaluar el grado de identificabilidad de los datos personales y los tipos de datos seudónimos, datos desidentificados y datos anónimos. El trabajo de FPF está licenciado bajo una licencia internacional Creative Commons Attribution 4.0. Resumen
fr-classif : Sistema de clasificación de información del gobierno francés Resumen
gdpr : Taxonomía relacionada con el REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) Resumen
gea-nz-activities : Información necesaria para rastrear o monitorear momentos, períodos o eventos que ocurren a lo largo del tiempo. Este tipo de información se centra en ocurrencias que deben ser rastreadas por razones comerciales o que representan un punto específico en la evolución de 'El Negocio'. Resumen
gea-nz-entities : Información relativa a instancias de entidades o cosas. Resumen
gea-nz-motivators : Información relativa a la autoridad o la gobernanza. Resumen
gsma-attack-category : Taxonomía utilizada por GSMA para su programa de intercambio de información con operadores de telecomunicaciones que describe las categorías de ataque Resumen
gsma-fraud : Taxonomía utilizada por GSMA para su programa de intercambio de información con operadores de telecomunicaciones que describe los diversos aspectos del fraude Resumen
gsma-network-technology : Taxonomía utilizada por GSMA para su programa de intercambio de información con operadores de telecomunicaciones que describe los tipos de infraestructura. WiP Resumen
honeypot-basic : Actualizada (CIRCL, Seamus Dowling y EURECOM) a partir de Christian Seifert, Ian Welch, Peter Komisarczuk, 'Taxonomy of Honeypots', Informe Técnico CS-TR-06/12, VICTORIA UNIVERSITY OF WELLINGTON, School of Mathematical and Computing Sciences, junio de 2006, http://www.mcs.vuw.ac.nz/comp/Publications/archive/CS-TR-06/CS-TR-06-12.pdf Resumen
ics : FIRST.ORG CTI SIG - Propuesta MISP para el Proyecto de Atribución de Amenazas ICS/OT (IOC) Resumen
iep : Marco de la Política de Intercambio de Información (IEP) del Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) Resumen
iep2-policy : Política de Intercambio de Información (IEP) v2.0 del Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) Resumen
iep2-reference : Referencia de la Política de Intercambio de Información (IEP) v2.0 del Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) Resumen
ifx-vetting : La taxonomía IFX se utiliza para categorizar información (eventos y atributos de MISP) para ayudar en el proceso de revisión de inteligencia Resumen
incident-disposition : Cómo se clasifica un incidente en su proceso de resolución. La taxonomía está inspirada en el Manual de Respuesta a Incidentes y Gestión de la NASA. https://www.nasa.gov/pdf/589502main_ITS-HBK-2810.09-02%20%5bNASA%20Information%20Security%20Incident%20Management%5d.pdf#page=9 Resumen
infoleak : Una taxonomía que describe fugas de información y especialmente información clasificada como potencialmente filtrada. La taxonomía se basa en el trabajo de CIRCL sobre el marco AIL. El objetivo de la taxonomía es ser utilizada a gran escala para mejorar la clasificación de la información filtrada. Resumen
information-origin : Taxonomía para etiquetar información según su origen: generada por humanos o generada por IA. Resumen
information-security-data-source : Taxonomía para clasificar las fuentes de datos de seguridad de la información. Resumen
information-security-indicators : Un conjunto completo de indicadores operativos para que las organizaciones los utilicen como referencia para evaluar su postura de seguridad. Resumen
interactive-cyber-training-audience : Describe el público objetivo de la formación y educación en ciberseguridad. Resumen
interactive-cyber-training-technical-setup : La configuración técnica consiste en la estructura del entorno, el despliegue y la orquestación. Resumen
interactive-cyber-training-training-environment : El entorno de formación detalla el entorno que rodea a la formación, compuesto por el tipo de formación y el escenario. Resumen
interactive-cyber-training-training-setup : La configuración de la formación describe además la propia formación con la puntuación, los roles, el modo de formación y el nivel de personalización. Resumen
interception-method : El método de interceptación utilizado para interceptar el tráfico. Resumen
ioc : Una clasificación de IOC para facilitar la automatización de artefactos maliciosos y no maliciosos Resumen
iot : Taxonomía de Internet de las Cosas, basada en el informe de IOT UK https://iotuk.org.uk/wp-content/uploads/2017/01/IOT-Taxonomy-Report.pdf Resumen
kill-chain : La Cyber Kill Chain, un modelo basado en fases desarrollado por Lockheed Martin, tiene como objetivo ayudar a categorizar e identificar la etapa de un ataque. Resumen
maec-delivery-vectors : Vectores utilizados para entregar malware basados en MAEC 5.0 Resumen
maec-malware-behavior : Comportamientos de malware basados en MAEC 5.0 Resumen
maec-malware-capabilities : Capacidades de malware basadas en MAEC 5.0 Resumen
maec-malware-obfuscation-methods : Métodos de ofuscación utilizados por el malware basados en MAEC 5.0 Resumen
malware_classification : Clasificación basada en diferentes categorías. Basada en https://www.sans.org/reading-room/whitepapers/incident/malware-101-viruses-32848 Resumen
meteorstorm : Taxonomía de Evaluación de Amenazas de Múltiples Entornos, Amenazas Espaciales a los Recursos y Riesgo Operacional para Misiones (meteorstorm) para modelar amenazas y resiliencia espaciales, cibernéticas y multidominio en cinco capas: Entorno de Capacidad Primaria (PCE), Segmento (SEG), Servicio (SVC), Activo (AST) y Analítica (AN). Resumen
misinformation-website-label : Clasificación para la identificación del tipo de desinformación entre sitios web. Fuente: False, Misleading, Clickbait-y, and/or Satirical News Sources de Melissa Zimdars 2019 Resumen
misp : Taxonomía de MISP para inferir el comportamiento u operación de MISP. Resumen
misp-workflow : Taxonomía de flujo de trabajo de MISP para respaldar el resultado de la ejecución del flujo de trabajo. Resumen
monarc-threat : Taxonomía de amenazas de MONARC Resumen
ms-caro-malware : Clasificación de tipos y plataformas de malware basada en la implementación de Microsoft del Esquema de Nomenclatura y la Terminología de Malware de la Computer Antivirus Research Organization (CARO). Basada en https://www.microsoft.com/en-us/security/portal/mmpc/shared/malwarenaming.aspx, https://www.microsoft.com/security/portal/mmpc/shared/glossary.aspx, https://www.microsoft.com/security/portal/mmpc/shared/objectivecriteria.aspx y http://www.caro.org/definitions/index.html. Las familias de malware se extraen de los SIR de Microsoft desde 2008, basándose en https://www.microsoft.com/security/sir/archive/default.aspx y https://www.microsoft.com/en-us/security/portal/threat/threats.aspx. Tenga en cuenta que los SIR NO incluyen todas las familias de malware de Microsoft. Resumen
Clasificación de tipos y plataformas de malware basada en la implementación de Microsoft del Esquema de Nomenclatura y Terminología de Malware de la Computer Antivirus Research Organization (CARO). Basado en https://www.microsoft.com/en-us/security/portal/mmpc/shared/malwarenaming.aspx, https://www.microsoft.com/security/portal/mmpc/shared/glossary.aspx, https://www.microsoft.com/security/portal/mmpc/shared/objectivecriteria.aspx, y http://www.caro.org/definitions/index.html. Las familias de malware se extraen de los SIR de Microsoft desde 2008 con base en https://www.microsoft.com/security/sir/archive/default.aspx y https://www.microsoft.com/en-us/security/portal/threat/threats.aspx. Tenga en cuenta que los SIR no incluyen todas las familias de malware de Microsoft. Descripción general
mwdb : Taxonomía de Malware Database (mwdb) - Etiquetas utilizadas en toda la plataforma Descripción general
nato : Marcas de clasificación de la OTAN. Descripción general
nato-uas-classification : Clasificación de UAS de la OTAN. Descripción general
nis : La taxonomía está pensada para incidentes de ciberseguridad a gran escala, como se menciona en la Recomendación de la Comisión del 13 de septiembre de 2017, también conocida como «blueprint». Tiene dos partes fundamentales: la naturaleza del incidente, es decir, la causa subyacente que lo desencadenó, y el impacto del incidente, es decir, el impacto en los servicios, en qué sector(es) de la economía y la sociedad. Descripción general
nis2 : La taxonomía está pensada para incidentes de ciberseguridad a gran escala, como se menciona en la Recomendación de la Comisión del 13 de mayo de 2022, también conocida como acuerdo provisional. Tiene dos partes fundamentales: la naturaleza del incidente, es decir, la causa subyacente que lo desencadenó, y el impacto del incidente, es decir, el impacto en los servicios, en qué sector(es) de la economía y la sociedad. Descripción general
open_threat : Open Threat Taxonomy v1.1 basada en James Tarala de SANS http://www.auditscripts.com/resources/open_threat_taxonomy_v1.1a.pdf, https://files.sans.org/summit/Threat_Hunting_Incident_Response_Summit_2016/PDFs/Using-Open-Tools-to-Convert-Threat-Intelligence-into-Practical-Defenses-James-Tarala-SANS-Institute.pdf, https://www.youtube.com/watch?v=5rdGOOFC_yE, y https://www.rsaconference.com/writable/presentations/file_upload/str-r04_using-an-open-source-threat-model-for-prioritized-defense-final.pdf Descripción general
organizational-cyber-harm : Una taxonomía para clasificar los daños cibernéticos organizacionales basada en categorías como los impactos físicos, económicos, psicológicos, reputacionales y sociales/societales. Descripción general
osint : Inteligencia de Fuentes Abiertas - Clasificación (taxonomías MISP) Descripción general
pandemic : Pandemia Descripción general
passivetotal : Etiquetas del servicio PassiveTotal de RiskIQ Descripción general
pentest : Clasificación de pruebas de penetración (pentest). Descripción general
pfc : El Protocolo de semáforos (PFC) se basa en el estándar «Traffic Light Protocol (TLP)» diseñado por FIRST. Su objetivo es informar sobre los límites autorizados para la difusión de la información. Se clasifica según códigos de colores. Descripción general
phishing : Taxonomía para clasificar ataques de phishing, incluidas las técnicas, los mecanismos de recolección y el estado del análisis. Descripción general
poison-taxonomy : Taxonomía no exhaustiva de venenos naturales Descripción general
political-spectrum : Un espectro político es un sistema para caracterizar y clasificar diferentes posiciones políticas en relación entre sí. Descripción general
priority-level : Después de que un incidente se puntúa, se le asigna un nivel de prioridad. Los seis niveles que se enumeran a continuación están alineados con NCCIC, DHS y CISS para ayudar a proporcionar un léxico común al hablar de incidentes. Esta asignación de prioridad impulsa la urgencia de NCCIC, las ofertas de respuesta a incidentes preaprobadas, los requisitos de notificación y las recomendaciones para la escalada al liderazgo. Por lo general, la distribución de prioridades de los incidentes debería seguir un patrón similar al gráfico siguiente. Basado en https://www.cisa.gov/news-events/news/cisa-national-cyber-incident-scoring-system-nciss. Descripción general
pyoti : Esquemas de enriquecimiento automatizado de PyOTI para la clasificación puntual de indicadores. Descripción general
ransomware : El ransomware se utiliza para definir los tipos de ransomware y los elementos que los componen. Descripción general
ransomware-roles : Los siete roles que se observan en la mayoría de los incidentes de ransomware. Descripción general
retention : Añade un tiempo de retención a los eventos para eliminar automáticamente la marca IDS de los atributos ip-dst o ip-src. Calculamos el tiempo transcurrido basándonos en la fecha del evento. Las unidades de tiempo admitidas son: d (días), w (semanas), m (meses), y (años). El valor numérico solo sirve para ordenar en la interfaz web y no se utiliza para los cálculos. Descripción general
rsit : Taxonomía de Referencia para la Clasificación de Incidentes de Seguridad Descripción general
rt_event_status : Estado de los eventos utilizados en Request Tracker. Descripción general
runtime-packer : Empaquetador de tiempo de ejecución o de software utilizado para combinar datos comprimidos o cifrados con el código de descompresión o descifrado. Este código puede añadir mecanismos de ofuscación adicionales, incluidos empaquetadores polimórficos, virtualización u otras técnicas de ofuscación. Esta taxonomía enumera todos los empaquetadores conocidos u oficiales utilizados para un uso legítimo o para empaquetar binarios maliciosos. Descripción general
scrippsco2-fgc : Indicadores que describen la muestra Descripción general
scrippsco2-fgi : Indicadores que describen la muestra para datos isotópicos (C14, O18) Descripción general
scrippsco2-sampling-stations : Estaciones de muestreo del Programa Scripps CO2 Descripción general
sentinel-threattype : Tipos de amenaza de los indicadores de Sentinel. Descripción general
smart-airports-threats : Taxonomía de amenazas en el ámbito de la seguridad de los aeropuertos inteligentes de ENISA. https://www.enisa.europa.eu/publications/securing-smart-airports Descripción general
social-engineering-attack-vectors : Vectores de ataque utilizados en la ingeniería social, tal y como se describen en 'A Taxonomy of Social Engineering Defense Mechanisms' de Dalal Alharthi y otros. Descripción general
sov : Objetivos de soberanía en la nube, niveles de garantía y ponderaciones de puntuación de SoV derivados del Marco de Soberanía en la Nube de la Comisión Europea. Descripción general
srbcert : Taxonomía SRB-CERT - Esquemas de clasificación en la detección y respuesta a incidentes Descripción general
state-responsibility : Un espectro de responsabilidad estatal para vincular más directamente los objetivos de la atribución con las necesidades de los responsables de políticas. Descripción general
stealth_malware : Clasificación basada en técnicas de sigilo de malware. Descrito en https://vxheaven.org/lib/pdf/Introducing%20Stealth%20Malware%20Taxonomy.pdf Descripción general
stix-ttp : Los TTP son representaciones del comportamiento o del modus operandi de los adversarios cibernéticos. Descripción general
targeted-threat-index : El Targeted Threat Index es una métrica para asignar una puntuación general de clasificación de amenazas a los mensajes de correo electrónico que entregan malware al ordenador de una víctima. La métrica TTI se presentó por primera vez en SecTor 2013 por Seth Hardy como parte de la charla «RATastrophe: Monitoring a Malware Menagerie», junto con Katie Kleemola y Greg Wiseman. Descripción general
thales_group : La taxonomía de Thales Group fue diseñada con el objetivo de permitir el intercambio deseado y evitar el intercambio no deseado entre las comunidades de seguridad de Thales Group. Descripción general
threatmatch : Los sectores, tipos de incidente, tipos de malware y tipos de alerta de ThreatMatch son aplicables a cualquier instancia de ThreatMatch y deben utilizarse en todos los proyectos CIISI y TIBER. Descripción general
threats-to-dns : Una visión general de algunos de los ataques conocidos relacionados con DNS, tal como se describe en Torabi, S., Boukhtouta, A., Assi, C., & Debbabi, M. (2018) en Detecting Internet Abuse by Analyzing Passive DNS Traffic: A Survey of Implemented Systems. IEEE Communications Surveys & Tutorials, 1–1. doi:10.1109/comst.2018.2849614 Descripción general
tlp : El Protocolo de Semáforos (TLP) (v2.0) fue creado para facilitar un mayor intercambio de información potencialmente sensible y una colaboración más eficaz. El intercambio de información se produce desde una fuente de información hacia uno o más destinatarios. TLP es un conjunto de cuatro etiquetas estándar (se incluye una quinta etiqueta en ámbar para limitar la difusión) que se utilizan para indicar los límites de intercambio que deben aplicar los destinatarios. FIRST solo considera válidas las etiquetas enumeradas en este estándar. Esta taxonomía incluye etiquetas adicionales por compatibilidad con versiones anteriores que ya no están validadas por FIRST SIG. Descripción general
tor : Taxonomía para describir la infraestructura de la red Tor Descripción general
trust : El Indicador de Confianza proporciona información sobre datos que pueden considerarse fiables y que se sabe que provienen de un actor legítimo. Similar a una lista blanca, pero mejorada, reutilizando funciones que usaría con Indicadores de Compromiso, pero para filtrar lo que se sabe que es bueno. Descripción general
type : Taxonomía para describir diferentes tipos de disciplinas de recopilación de inteligencia que pueden describir el origen de la inteligencia. Descripción general
uas-additionnal-classification : Etiquetas adicionales relacionadas con UAV y UCAV para calificar el uso y las especificaciones del modelo. Descripción general
unified-kill-chain : La Unified Kill Chain es un refinamiento de la Kill Chain. Descripción general
unified-ransomware-kill-chain : La Unified Ransomware Kill Chain, un modelo basado en inteligencia desarrollado por Oleg Skulkin, tiene como objetivo rastrear cada fase de un ataque de ransomware. Descripción general
use-case-applicability : Las categorías de Use Case Applicability reflejan categorías de resolución estándar para mostrar claramente los problemas de configuración de las reglas de alerta. Descripción general
veris : Vocabulario para el Registro de Eventos e Intercambio de Incidentes (VERIS) Descripción general
vmray : Taxonomías de VMRay para mapear las puntuaciones y los artefactos de VMRay Thread Identifier. Descripción general
vocabulaire-des-probabilites-estimatives : Este vocabulario atribuye valores porcentuales a ciertos enunciados de probabilidad Descripción general
vulnerability : Una taxonomía para describir vulnerabilidades (de software, hardware o sociales) a diferentes escalas o con información adicional disponible. Descripción general
workflow : El lenguaje de soporte de flujos de trabajo es un lenguaje común para apoyar a los analistas de inteligencia en la realización de su análisis sobre datos e información. Descripción general
Los siguientes espacios de nombres de taxonomías están reservados y se utilizan internamente en MISP.
La documentación de las taxonomías se genera automáticamente a partir de la descripción de las taxonomías y está disponible en PDF y HTML.
Es bastante sencillo. Crea un archivo JSON que describa tu taxonomía como etiquetas triples (p. ej., consulta una existente como Admiralty Scale), crea un directorio que coincida con tu espacio de nombres, coloca tu archivo machinetag en el directorio y envía tu pull request. Eso es todo. Todos pueden beneficiarse de tu taxonomía y puede habilitarse automáticamente en herramientas de intercambio de información como MISP.
Para más información, la presentación "Information Sharing and Taxonomies Practical Classification of Threat Indicators using MISP" impartida en la última formación de MISP en Luxemburgo.
$ cd /var/www/MISP/app/files/taxonomies/ $ mkdir privatetaxonomy $ cd privatetaxonomy $ vi machinetag.json
Crea un archivo JSON que describa tu taxonomía como etiquetas triples.
Una vez que estés satisfecho con tu archivo, ve a la interfaz web de MISP en taxonomías/índice y actualiza las taxonomías; la taxonomía recién creada debería ser visible. Ahora necesitas activar las etiquetas dentro de tu taxonomía.
# Taxonomías de MISP
## Herramientas
[machinetag.py](https://github.com/misp/misp-taxonomies/blob/HEAD/tools/machinetag.py) es una herramienta de análisis para volcar taxonomías expresadas en Machine Tags (Triple Tags) y listar todas las etiquetas válidas de una taxonomía específica.~~~~shell
% cd tools
% python machinetag.py
admiralty-scale:source-reliability="a"
admiralty-scale:source-reliability="b"
admiralty-scale:source-reliability="c"
admiralty-scale:source-reliability="d"
admiralty-scale:source-reliability="e"
admiralty-scale:source-reliability="f"
admiralty-scale:information-credibility="1"
admiralty-scale:information-credibility="2"
admiralty-scale:information-credibility="3"
admiralty-scale:information-credibility="4"
admiralty-scale:information-credibility="5"
admiralty-scale:information-credibility="6"
...
Las taxonomías de MISP (archivos JSON) están bajo doble licencia:
o~~~~ Copyright (c) 2015-2024 Alexandre Dulaunoy - [email protected] Copyright (c) 2015-2024 CIRCL - Computer Incident Response Center Luxembourg Copyright (c) 2015-2024 Andras Iklody Copyright (c) 2015-2024 Raphael Vinot Copyright (c) 2016-2024 Various contributors to MISP Project
Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met:
1. Redistributions of source code must retain the above copyright notice,
this list of conditions and the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright notice,
this list of conditions and the following disclaimer in the documentation
and/or other materials provided with the distribution.
THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
Si un autor específico de una taxonomía quiere licenciarla bajo una licencia diferente, se puede solicitar un pull request.