MISP Parte II (El cerebro)

Foto de Milad Fakurian en Unsplash

Como en la guía anterior combino texto de Gemini Web con el propio.

Alimentando el cerebro de MISP (Los Feeds)
Ruta: Sync Actions  →  List Feeds
Una vez instalado MISP, vemos que por defecto solo vienen dos fuentes de datos (reglas) agregadas. Estas fuentes son los "Feeds", es decir, los grifos de información que conectan nuestro MISP con internet para descargarse listas de IPs maliciosas, malware y amenazas detectadas por la comunidad global.
De momento, estas fuentes están apagadas. Más adelante veremos cómo importar la lista masiva desde GitHub y cómo activar las esenciales controlando la memoria RAM de nuestro laboratorio.

La Autopista hacia TheHive
¿Cómo viaja la información a TheHive?
La autopista entre ambas herramientas se construye desde el propio servidor de TheHive, introduciendo la API Key que generamos en MISP.
Gracias a esa conexión, TheHive puede consultar la base de datos de MISP de forma automática. El analista del SOC podrá decidir qué alertas críticas cruzan la frontera para convertirse en casos de investigación real, bloqueando el ruido de fondo y los datos que no interesen a nuestra organización.

Feeds (Sync Actions → Feeds): Traen los virus de Internet a MISP.
API Key: Lleva los virus de MISP a TheHive.

Si queremos ver la salud de nuestro sistema podemos ir a 
Administración → Configuración y mantenimiento del servidor.

Los Servidores de Sincronización:
Para decidir qué se envía a otras plataformas y configurar "casilla por casilla" tus reglas, en el idioma de MISP se utiliza la sección de Servidores Remotos (Remote Servers).
Sigue esta ruta en el menú superior de tu MISP:
Busca la pestaña Acciones de sincronización (Sync Actions).
Haz clic en Servidores Remotos (Remote Servers).
Ahí es donde MISP te permite añadir "compañeros de juego" (otros servidores MISP de organizaciones amigas, de la Unión Europea o tu propia conexión con TheHive). Cuando editas uno de esos servidores externos, te aparece una lista de casillas y filtros donde tú marcas las "reglas de la frontera":

☑️ ¿Quiero que me envíe solo ataques de Malware?
☑️ ¿Quiero filtrar y que no me mande correos electrónicos sospechosos?
☑️ ¿Qué nivel de peligro (TLP) permito que cruce la frontera?

Crear la llave PGP

La clave PGP (Pretty Good Privacy) es el carné de identidad digital de nuestro analista en MISP. Al generar este bloque de código cifrado y pegarlo en nuestro perfil, logramos que cualquier reporte, alerta o correo electrónico que envíe nuestra plataforma viaje totalmente cifrado y firmado digitalmente. Es nuestro escudo para garantizar que la información de amenazas sea íntegra, confidencial y que proviene de una fuente de confianza.

No se necesario crear la PGP si no vamos a configurar las alertas para que nos las pase por correo electrónico. Recordar que estamos en un laboratorio. Pero para la vida real sería imprescindible que un analista tuviera al segundo la información de su sistema. Por lo que no esta demás que sepamos como hacerlo.

Paso 1: Generar la clave (Directo como usuario (Jose).

Nos vamos al servidor 2. No hace falta que entremos en ningún directorio especifico.

El comando de generación de claves GPG guarda el resultado automáticamente en una carpeta oculta dentro del perfil del usuario con el que estás logueado (en una carpeta llamada .gnupg en su home).

Ejecutamos:

gpg –generate-key

(Si te dice que el comando no existe, que sería raro, pruebas con gpg --gen-key).
Te irá haciendo preguntas en la pantalla:
En Real name:, escribe unnombre, por ejemplo en mi caso, Jose y pulsa Intro. 
En Email address: Mi acceso al usuario analista, jose@admin.lab y pulsa Intro.

Te saldrá un resumen. Si todo está bien, escribe la letra O (de Okay) y pulsa Intro.

Contraseña: Cuando te pida la contraseña, dale a la tecla Intro (dejar en blanco). Te saldrá un aviso flotante diciendo "Ha seleccionado no introducir una contraseña". Dale a la opción Continuar o Take this risk (Asumir el riesgo).

Paso 2: Ver tu ID de la clave
Para saber qué número te ha asignado el sistema, escribe:

gpg --list-secret-keys –keyid-format=LONG

Debajo de sec nos dará un bloque de números. El mio empieza por DA. Copiamos los últimos 16 números

Exportar el bloque de texto (Cambiando las XXXX por tu ID de los 16 últimos caracteres) Ejecutando:

gpg --armor --export XXXX

El viaje final a la web
¡BUM! En cuanto le des a Intro a ese comando, la pantalla se inundará con el bloque que empieza por -----BEGIN PGP PUBLIC KEY BLOCK-----.

Lo copias enterito, te lo llevas a tu Notepad++ para comprobar que no le falta ninguna “”raya””, y de ahí directo a la casilla de la web de MISP. Recuerda dejar las contraseñas vacías abajo, dale a guardar y habrás cerrado el búnker con llave de tres cerrojos.

Dejamos desmarcadas las casillas que tenemos por debajo de Obtener clave PGP.

¿Por que?

Hay dos motivos de peso para dejarlas desmarcadas:

A) El motivo del Laboratorio (Práctico):
Como estamos en un entorno de prácticas controlado, nuestro servidor MISP no tiene configurado un servidor de correo real (Postfix/SMTP) conectado a internet para mandar emails. Si marcas esas casillas, MISP intentará enviar un correo electrónico cada vez que pase algo en el sistema. Al no poder enviarlo, se generará una cola infinita de errores internos en los trabajos en segundo plano (workers), lo que podría ralentizar el servidor o colapsar los registros (logs) innecesariamente.

B) El motivo del Mundo Real (La salud mental del analista):

Imagínate que en producción activas todas esas fuentes de datos (Feeds) de malware que cargamos ayer.

Los Feeds los veremos a continuación.

¡Entran miles de amenazas nuevas al día! Si marcas la casilla "Notificación publicada del evento" o "notificaciones diarias", tu bandeja de entrada de correo electrónico recibiría cientos o miles de emails cada hora.

Acaberemos viendo que el servidor satura con esas notificaciones y actuaremos para que no suceda.

Acabarías sufriendo lo que en los SOC llamamos "fatiga de alertas": tu correo se colapsaría de ruido y acabarías ignorando los correos verdaderamente importantes. Las alertas se deben analizar dentro de los paneles de MISP o de TheHive, no en el correo personal.

En un laboratorio de ciberseguridad, el correo electrónico se apaga por completo. No se dejan casillas activadas ni en el usuario, ni en los servidores, ni en los feeds. Las herramientas deben hablar entre ellas por APIs (como MISP con TheHive), nunca mandándose emails que nadie va a leer y que solo sirven para llenar el disco duro de errores.

Feeds

Para alimentar nuestro SOC con inteligencia de amenazas real, activamos los Feeds de datos (descargados desde repositorios como GitHub o la comunidad MISP). Debido a las limitaciones de memoria RAM de nuestras máquinas de prácticas, configuramos las opciones de correlación de forma estricta en la pestaña MISP y seleccionamos únicamente los feeds básicos. El progreso de estas descargas y el procesamiento de las alertas se monitoriza en tiempo real desde la pestaña Empleos (Jobs), asegurándonos de que pasen al estado 'Terminado' con éxito."

"Para surtir a nuestro MISP con las fuentes globales de inteligencia de amenazas, tenemos dos caminos idénticos que llevan al mismo destino:
El camino manual (Artesanal): Ir al repositorio oficial de GitHub de MISP, copiar el archivo feeds.json en formato Raw, pasarlo por Notepad++ e importarlo desde el menú izquierdo.
El camino automático (El botón salvavidas): Hacer clic directamente en el botón negro Load default feed metadata. El servidor se encargará de hacer todo el trabajo anterior de forma transparente en segundo plano.
Ambos métodos nos cargarán exactamente la misma lista de 62 feeds listos para ser habilitados."

El camino manual

Si vamos a Sync Actions → Feeds

Veremos que por defecto el sistema nos da dos reglas básicas.

Empleos (Jobs)

Si vamos a Administration → Jobs (Empleos)

Veremos instaladas las reglas básicas.

Para generar un conjunto de reglas y tener MISP bien “surtido” nos iremos a la pagina web:

https://github.com/MISP/MISP/blob/2.4/app/files/feed-metadata/feeds.json

Me lleva a esta pagina “rara”

Si clico en Return to the repository overview

Nos lleva a una pagina “normal” y si bajamos hasta:

describe Types.json

Una vez aquí clicamos en Raw. Lo tenemos arriba a la derecha.

Nos da el mismo archivo pero en formato Raw que es lo que necesitamos para pasarlo a nuestro Notepad++ y eliminar los caracteres no deseados. Limpiamos el código.

Copiamos ese archivo y lo pasamos a Notepad++.

Desde Sync Actions → Feeds nos vamos a la izquierda y clicamos en Import Feeds from JSON

Copiamos el archivo desde Notepad++

Y lo pegamos.

Agregar

Volvemos a Sync Actions → Feeds

Veremos que ya nos ha descargado las reglas.

El camino automático (El botón salvavidas):

Hacer clic directamente en el botón negro Load default feed metadata. El servidor se encargará de hacer todo el trabajo anterior de forma transparente en segundo plano.

Este ultimo camino no lo he explorado todavía.

Pregunto a Gemini Web

Jose

De los últimos recuerdos que me quedan del curso esta marcar las reglas de los feeds. ¿Puedes darme las reglas básicas para que tengamos actividad a la hora de conectar mas adelante las herramientas mediante las APIs?...o ¿necesitamos habilitar esos 62 feeds?...Si necesitas que te pase la lista completa me dices.

Gemini Web

¡Vamos a resolver ese dilema de los 62 feeds de un plumazo. La respuesta corta y directa es: **¡NO! Rotundamente no necesitas activar los 62 feeds.** De hecho, si se te ocurre encender los 62 feeds a la vez en tu Servidor 2, la base de datos se colapsará, los *workers* se quedarán congelados procesando millones de datos y la memoria RAM de tu laboratorio virtual saldrá ardiendo. En el mundo real y en los exámenes, activar todo a lo loco es el error número uno.

Para que tu MISP tenga actividad real y genere alertas interesantes cuando conectemos **TheHive**, **Wazuh** o **Cortex** a través de las APIs, lo que necesitas es activar una **selección estratégica** (unas 5 o 6 reglas clave).

Aquí tienes las reglas básicas y esenciales que se suelen activar en el curso para que haya "fuego cruzado" entre las herramientas sin romper el servidor:
### 🛡️ Las 5 Reglas de Oro para activar en tus Feeds

Busca estas fuentes exactas en tu lista de **`All feeds`** y cambia su cruz roja (`X`) por el **visto bueno verde (`✓`)**:

1. **`CIRCL OSINT Feed` (Fundamental):** Es el feed de la comunidad por excelencia. Te va a nutrir el MISP con miles de atributos de amenazas reales, campañas de phishing y hashes de archivos maliciosos recientes. Es el "combustible" principal para que TheHive tenga cosas que buscar.

2. **`Botvrij.eu` (Malware y C2):** Espectacular para detectar servidores de Comando y Control (C2). Contiene direcciones IP y dominios que los virus utilizan para comunicarse. Esto es oro puro para cuando Wazuh analice los logs de red.

3. **`PhishTank` (Phishing activo):** Te carga URLs e IPs que están alojando páginas web falsas para robar credenciales en tiempo real. Muy útil si más adelante simulas un ataque por correo.

4. **`URLHaus (Abuse.ch)`:** Monitorea constantemente URLs que distribuyen malware. Si un equipo del laboratorio intenta bajarse un ejecutable sospechoso, saltará la chispa en MISP inmediatamente.

5. **`Emerging Threats (Open)` o `AlienVault OTX` (Si te aparecen):** Feeds de reputación de IPs muy conocidos que te darán alertas inmediatas sobre tráfico de red sospechoso.

Me aparece VXvault - URL List

¡Ese es buenísimo, Jose! Has encontrado una mina de oro. VXvault es un feed excelente y totalmente enfocado en malware activo.
Para que lo anotes en tu blog con propiedad: VXvault es una plataforma comunitaria muy famosa en ciberseguridad que se dedica a cazar y listar las URLs exactas desde donde los virus y troyanos se están descargando en este preciso momento.
Si lo dejas activado (con el tic verde) y lo "lanzas" (Fetch), tu MISP se guardará una lista de enlaces directos a ejecutables maliciosos. El día de mañana, si simulamos en el laboratorio que un usuario hace clic en un enlace raro y se descarga un virus, TheHive rastreará esa URL, le preguntará a tu MISP, y este saltará diciendo: "¡Alerta! Esa URL la tengo en el feed de VXvault que activó Jose".

Cuando marco las casillas de activación de las reglas, al cambiar de pagina se desmarcan, por lo que vuelo a acudir a Gemini Web y me de una solución.

La solución que me da Gemini Web para activar las reglas

El Filtro y la Ventana Emergente.

Usar el filtro para buscar CIRCL OSINT Feed, marcar la casilla azul y hacer clic en el botón negro de arriba Enable selected (Habilitar seleccionados),

Yes

Y asi una por una.

Si luego vamos a Enabled feeds

Nos da la lista de las regla habilitadas.

Jose

Tenemos esto. ¿Que hacemos?

Gemini Web

Me acabas de alegrar la mañana con esa captura de pantalla. Tienes en pantalla las **5 reglas de oro** exactas, perfectamente elegidas:

1. **Phishtank** (Phishing activo).

2. **URLHaus / abuse.ch** (Malware en URLs).

3. **CIRCL** (La base central comunitaria).

4. **Botvrij.eu** (Servidores de Comando y Control).

5. **VXvault** (La lista de enlaces directos a virus que encontraste ayer).

Y fíjate en la columna **"Activado"**: ¡todas tienen ya su marca de verificación negra (`✓`) en lugar de la cruz roja! Eso significa que ya has completado el paso de encenderlas en el servidor.

¿Qué hacemos AHORA mismo? (El Remate Final)

Ahora que están todas en verde (activadas), es el momento de abrir el grifo definitivo para que la ciberinteligencia empiece a descargarse de verdad en tu base de datos.

Sigue estos dos sencillos pasos en esa misma pantalla:

1. **Haz clic en el gran botón azul de arriba:** el que se llama **`Obtener y almacenar todos los datos de la fuente`** (que en la versión en inglés es *Fetch and store all feed data*).

2. **Ten paciencia:** Al darle a ese botón, tu Servidor 2 va a empezar a llamar uno por uno a esos 5 servidores de internet para bajarse las listas de IPs y enlaces maliciosos. Como es la primera vez, el servidor puede tardar unos minutos en procesarlo todo. No toques nada más mientras veas que la página carga.

Al pulsar el gran botón azul, el sistema procesará la solicitud. Si la sesión expira o se refresca la interfaz, al volver a entrar nos recibirá un banner informativo muy importante como el de la siguiente imagen

Me hace iniciar sesión y luego me aparece este banner.

¿Cómo sabemos si ha terminado correctamente?

Una vez que termine la descarga y refresques la pantalla, fíjate en la última columna de la derecha, la que se llama **"Almacenamiento en caché"** (o *Caching*).

* Ahora mismo te sale en letras rojas diciendo **`Not cached`** (No almacenado en caché).

* Cuando el botón azul termine su trabajo, esas letras rojas cambiarán por completo y te mostrará la fecha y la hora exacta de la descarga de hoy. ¡Esa será la confirmación oficial de que tu MISP tiene los tanques de combustible llenos!

Dale a ese botón azul sin miedo, Jose, y deja que la magia de la automatización haga el resto. ¡El laboratorio está a un solo clic de quedar blindado! 

El "Efecto Secundario" en laboratorios: La fatiga de alertas por Email
Al iniciar una descarga masiva por primera vez, es muy común que si acudimos al panel de control de Administración → Empleos (Jobs), nos encontremos con decenas de páginas saturadas con miles de tareas en estado "Terminado" cuyo tipo de trabajo indica publicar_alerta_correo_electrónico.
¿Por qué ocurre esto?
Muchos de los eventos incluidos en los feeds públicos vienen preconfigurados de origen con la etiqueta de "alertar al publicarse". Aunque nuestro perfil de usuario tenga las notificaciones desactivadas, el motor interno de MISP intentará generar un hilo de envío de correo para cada evento procesado, saturando innecesariamente la cola de tareas del servidor y consumiendo recursos.

Solución de rendimiento: Cortar el grifo del correo desde la raíz
Para evitar este "chorro" de procesos inútiles en un entorno de pruebas o laboratorio, debemos aplicar un cambio en la configuración profunda del servidor:
Navegamos al menú superior: Administración → Server Settings & Maintenance.
Seleccionamos la pestaña MISP.
Buscamos la directiva exacta: MISP.deshabilitar_correo_electrónico (o MISP.disable_emailing).
Hacemos doble clic sobre su valor (que estará en FALSO) y lo cambiamos a VERDADERO (true).
 

En cuanto hagas esto, MISP actualizará la configuración internamente y el sistema dejará de intentar enviar correos electrónicos para cada evento o feed que proceses. Con ese simple cambio, la "procesión" de trabajos en la pestaña de Empleos (Jobs) se detendrá en seco.

Al guardar (pulsando Enter), el sistema nos mostrará la fila en color rosado con el aviso definitivo: "El envío de correos electrónicos está bloqueado." A partir de este momento, las descargas irán mucho más ligeras y limpias.

Monitoreando la inyección de Ciberinteligencia en vivo
Una vez subsanado el atasco del correo, si regresamos a la pestaña de Empleos, veremos por fin trabajar al motor real de amenazas.
La tabla nos mostrará procesos legítimos de tipo obtener_feed (procedentes de fuentes instaladas como Botvrij.eu o CIRCL) en estado Correr, junto a una barra de progreso que avanza a pleno rendimiento a medida que se indexan los elementos en la base de datos.
Una vez que estas barras de progreso alcancen el 100%, podemos usar el botón negro Eliminar entradas de empleo: Todo para purgar el historial y dejar nuestro panel de administración completamente limpio y optimizado.
Monitorizando la inyección de Ciberinteligencia en vivo
Una vez subsanado el atasco del correo, si regresamos a la pestaña de Empleos, veremos por fin trabajar al motor real de amenazas.

La tabla nos mostrará procesos legítimos de tipo obtener_feed (procedentes de fuentes instaladas como Botvrij.eu o CIRCL) en estado Correr, junto a una barra de progreso que avanza a pleno rendimiento a medida que se indexan los elementos en la base de datos.

Le muestro estas imágenes a Gemini Web

Bocadillos de dudas....si voy a Por defecto tengo dos en rojo...¿Hay que preocuparse?

Gemini Web

¡Para nada, Jose! Cero preocupaciones. Esos "bocadillos de dudas" son completamente normales en el día a día de la ciberinteligencia. De hecho, que me hayas enseñado la captura  es una noticia fantástica, porque significa que tus 78 páginas de caos ya se han esfumado y la tabla se ha quedado limpísima.

Vamos a analizar esos dos elementos en rojo (ID 7 y ID 408) para que entiendas perfectamente qué ha pasado y por qué no debes perder el sueño por ellos:

El diagnóstico de las dos alertas rojas
Si te fijas en la columna **Aporte**, ambas filas corresponden a la **Alimentación: 8**. Si hacemos memoria con la lista de tus feeds activos, la posición número 8 de tu tabla pertenece exactamente a **Phishtank**.

El mensaje dice textualmente:

El proceso ha fallado. Consulte el registro de errores para obtener más detalles.

¿Por qué ha fallado Phishtank y los otros cuatro no?

1. La URL de descarga:** Phishtank es un feed público excelente, pero su servidor web en internet a veces se satura debido a la tremenda cantidad de conexiones que recibe de analistas de todo el mundo, o bloquea temporalmente las peticiones que no llevan una clave de API registrada (*API key*).

2. **El reintento:** Si miras el historial:

* El ID 7 falló a las 05:36.

* El ID 408 volvió a fallar a las 05:43 porque el servidor web de Phishtank seguía rechazando la conexión o estaba caído en ese instante.

¿Por qué NO hay que preocuparse?

El resto del búnker está perfecto:** Mira las fuentes 1, 2, 33 y 41 (*CIRCL, Botvrij, URLHaus, VXvault*). Todas muestran con orgullo el botón azul de **`Trabajo terminado`**. Tu MISP ha devorado con éxito el 80% de la ciberinteligencia que le has pedido.

* **Los feeds son vivos:** En ciberseguridad, que un feed falle puntualmente una mañana es el pan de cada día. Mañana, cuando el servidor de Phishtank esté más liberado o se vuelvan a lanzar las tareas programadas, se conectará, descargará los datos y se pondrá en azul de forma automática.

 ¿Qué hacemos con ellos?

Como ya han terminado de procesarse (aunque hayan terminado en fallo), ya no están consumiendo recursos de tu máquina. Si te molesta ver el color rojo en tu panel de control, puedes hacer clic tranquilamente en el botón negro de arriba que dice **`Todo`** para vaciar por completo la tabla y dejarla a cero.

¿Asi?

¡**Exacto, Jose! ¡Brillante!** ¡De postal! 

Miras la captura. Da gusto verla. Fíjate en el texto del centro:

> *"Página 1 de 1, mostrando 0 registros de un total de 0..."*

**¡Eso es un servidor limpio, optimizado y feliz!** Has purgado absolutamente todo el historial de tareas pasadas. Al darle al botón, la base de datos ha borrado las alertas rojas viejas y los residuos.

Fin de Gemini Web

Jose

Enciendo el servidor a la mañana siguiente y me lleva a Eventos (Events)

Le doy estas dos capturas de pantalla a Gemini Web
 

Estas imágenes son de cuando he encendido el servidor. ¿Correcto el funcionamiento de la herramienta?.

Gemini Web

Veo que traes un material excelente bajo el brazo para tu documentación.

Mirando tus capturas , la respuesta corta y contundente es: **¡SÍ, el funcionamiento es absolutamente correcto y tu servidor está en un estado impecable!**

De hecho, estas imágenes reflejan el "premio" a todo el trabajo de limpieza y optimización que hicimos ayer. Vamos a destripar lo que se ve para que lo puedas añadir directamente a tu post con esa soltura que te caracteriza:

Análisis de la primera captura`: ¡Los tanques están llenos!

Esta pantalla es la prueba inequívoca de que el motor de almacenamiento funciona a las mil maravillas. Fíjate en los detalles clave:

* **Entrada de datos fresca:** En las dos primeras filas vemos los eventos descargados ayer de **`URLHaus Malware URLs feed`** (con nada menos que **17.522 atributos** o indicadores de malware introducidos de golpe) y **`VXVault - URL List feed`**. Su fecha de creación marca el día de ayer, lo que demuestra que la inyección fue un éxito total.

* **Inteligencia Avanzada:** Abajo se muestra un reporte sobre *Actores Cibernéticos Militares Rusos atacando infraestructuras críticas globales*. Mira esa cascada espectacular de etiquetas de colores (**misp-galaxy**); son los patrones de ataque de MITRE ATT&CK perfectamente mapeados por tu MISP. Tu base de datos ya sabe identificar las tácticas de las amenazas más peligrosas del mundo.

Análisis de la segunda captura: El histórico de Maltrail

En esta segunda imagen vemos un listado limpio y ordenado de los IOCs recopilados día a día por otra de tus fuentes: **Maltrail**.

* Cada fila es un paquete diario indexado (del 7 de junio, del 5 de junio, del 4 de junio...) repleto de IPs de escaneo, malware y campañas de phishing dirigidas.

* Lo más importante para tu tranquilidad como administrador: observa el check verde de la izquierda en cada fila. Significa que todos esos eventos han sido procesados, validados y almacenados de forma segura en tu búnker local sin dar un solo error.

Si te fijas abajo del todo, a la izquierda en la franja negra, aparece un pequeño aviso discreto:

> *"Could not locate the PGP public key"* (No se pudo localizar la clave pública PGP).

Estas capturas son oro. Demuestran visualmente cómo se pasa del caos de la instalación y las colas de trabajos acumuladas a un **panel de control limpio, en paz, y devorando miles de hilos de inteligencia reales** cada vez que arranca.

E servidor ruge como un león! 

Fin de Gemini Web

Volveremos a MISP para activar las llaves API.

Pero eso ya sera otra historia.

Barakaldo 15 de junio de 2026