PhishNet: compartir inteligencia de amenazas con quien no tienes motivos para confiar
Dos organizaciones atacadas por la misma campaña tienen todos los motivos para avisarse, y ninguna infraestructura común para hacerlo. En ese hueco es donde ocurre la mayor parte del daño.
La inteligencia de amenazas tiene un problema de coordinación. Los indicadores que permitirían a una organización bloquear un ataque suelen estar ya en los registros de otra. Llevarlos de una a otra exige o bien una plataforma común que ambas partes ya operen, o bien un nivel de confianza mutua que con frecuencia no existe — entre competidores, entre países, o en cualquier agrupación improvisada que se forme más rápido de lo que avanza un proceso de compras.
PhishNet está construido exactamente para esa situación: validar, registrar y compartir indicadores de compromiso entre partes sin infraestructura común y sin confianza previa. La premisa de diseño es que la confianza no debería ser un requisito para cooperar. Lo que sí se exige, en su lugar, es que toda acción sea atribuible y todo registro sea a prueba de manipulación.
Cada petición queda registrada en un libro de solo-anexado donde cada entrada se encadena criptográficamente a la anterior. Borrar una entrada, reordenarlas o alterar una a posteriori rompe la cadena, y la rotura la detecta cualquiera con acceso al libro. El acceso, a su vez, se gobierna por capacidades explícitas en lugar de por roles amplios: una cuenta puede registrar un indicador, o leer la traza de auditoría, o ejecutar una detección, y cada una de esas cosas se concede por separado.
Es además deliberadamente ligero. Las plataformas existentes en este ámbito suelen ser pesadas de desplegar y dan por hecha una buena conectividad — lo cual está bien para un centro de operaciones corporativo e inservible en los entornos donde compartir importa más: despliegues soberanos, coaliciones improvisadas, condiciones de bajo ancho de banda y cualquier sitio donde desplegar una plataforma completa sea más lento que el propio ataque.
El estado honesto: el sistema funciona de extremo a extremo y se ha ejercitado contra datos reales de phishing, pero el conjunto de validación es pequeño, todavía no hay una medición formal de falsos positivos y ha funcionado en un entorno local controlado, no con usuarios reales sobre el terreno. Está en el punto en que los componentes funcionan y la evidencia de que funcionan a escala aún no existe. Ambas cosas son ciertas a la vez, y contar solo la primera sería marketing.