STIX/TAXII
| Po angielsku | STIX/TAXII |
|---|---|
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Kategoria | SOC, wywiad o zagrożeniach i reagowanie |
STIX/TAXII to para otwartych standardów OASIS do wymiany informacji o zagrożeniach. STIX (Structured Threat Information Expression) jest językiem i formatem serializacji służącym do wymiany threat intelligence [1]. TAXII (Trusted Automated Exchange of Intelligence Information) jest protokołem warstwy aplikacji do przesyłania informacji o zagrożeniach w prosty i skalowalny sposób [1]. W skrócie: STIX mówi, jak zapisać wiedzę o zagrożeniu, a TAXII, jak ją przesłać między organizacjami.
Jak działa STIX
Specyfikacja STIX 2.1 została zatwierdzona jako standard OASIS 10 czerwca 2021 roku [2]. Obowiązkowym formatem zapisu jest JSON w kodowaniu UTF-8 [2]. Dane składają się z obiektów kilku rodzajów [2]:
| Rodzaj obiektu | Rola | Przykłady |
|---|---|---|
| SDO (domain object) | pojęcia analityczne, 18 typów [2] | Indicator, Malware, Threat Actor, Vulnerability |
| SCO (cyber-observable) | fakty zaobserwowane w sieci lub na hoście, 18 typów [2] | IPv4 Address, Domain Name, File, URL |
| SRO (relationship) | powiązania między obiektami [2] | Relationship, Sighting |
| Obiekty meta | metadane i oznaczenia [2] | Marking Definition |
Dzięki relacjom jeden pakiet może powiedzieć więcej niż lista adresów. Wskaźnik może wskazywać na złośliwe oprogramowanie, które jest używane przez określonego threat actora, a ten wykorzystuje konkretną podatność. Obiekt Sighting zapisuje, że ktoś dany element zaobserwował, wraz z liczbą obserwacji [2]. Obiekty można spakować razem w obiekt Bundle [2].
Najczęściej wymienianym obiektem jest Indicator. Jego wymagane pola to między innymi pattern, pattern_type i valid_from [2]. Wzorzec zapisuje się w języku STIX Patterning, który pozwala wykrywać aktywność w sieci i na urządzeniach [2]. Przykładowy wskaźnik z adresem z puli dokumentacyjnej wygląda tak:
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--8e2e2d2b-17d4-4cbf-938f-98ee46b3cd3f",
"created": "2026-09-27T10:00:00.000Z",
"modified": "2026-09-27T10:00:00.000Z",
"name": "Skaner wtyczek WordPress",
"pattern": "[ipv4-addr:value = '203.0.113.10']",
"pattern_type": "stix",
"valid_from": "2026-09-27T10:00:00Z"
}
Jak działa TAXII
TAXII 2.1 został zatwierdzony jako standard OASIS tego samego dnia co STIX 2.1 [3]. Całą komunikację prowadzi przez HTTPS [3] z typem mediów application/taxii+json [3]. Klient zaczyna od punktu wykrywania /taxii2/, który zwraca listę tak zwanych API Roots, czyli logicznych grup kolekcji, na przykład dla różnych grup zaufania [3].
Standard przewiduje dwa modele wymiany [3]. Kolekcja (Collection) działa w trybie żądanie–odpowiedź: producent trzyma dane na serwerze, a odbiorcy je pobierają. Kanał (Channel) miał działać w modelu publikuj–subskrybuj, ale wersja 2.1 tylko rezerwuje odpowiednie słowa kluczowe i nie definiuje usług kanałów [3]. W praktyce TAXII 2.1 oznacza więc kolekcje. Przebieg wymiany pokazuje schemat poniżej.
Zasady udostępniania
Sam format nie rozstrzyga, komu wolno przekazać dane dalej. NIST SP 800-150 zaleca, by organizacje przed udostępnianiem ustaliły cele, źródła i zasady kontrolujące publikację i dystrybucję informacji o zagrożeniach [4]. Według tego dokumentu informacje te obejmują wskaźniki kompromitacji (IoC), taktyki, techniki i procedury (TTP), zalecane działania i wnioski z analiz incydentów [4].
Do oznaczania poufności służy Traffic Light Protocol. FIRST definiuje cztery etykiety: TLP:RED, TLP:AMBER, TLP:GREEN i TLP:CLEAR [5]; wersja 2.0 obowiązuje od sierpnia 2022 roku [5]. Specyfikacja STIX 2.1 przewiduje oznaczenia TLP jako predefiniowane obiekty Marking Definition [2].
Zastosowania
- Programy rządowe. Amerykańska agencja CISA prowadzi usługę Automated Indicator Sharing do wymiany wskaźników i środków obrony w formie czytelnej dla maszyn [6]. Uczestnicy korzystają z klienta TAXII 2.1 [6], a usługa jest bezpłatna dla uprawnionych podmiotów [6].
- Platformy wymiany. MISP, otwarte oprogramowanie do zbierania i udostępniania wskaźników, eksportuje dane między innymi w formacie STIX [7].
- Systemy obronne. SIEM, SOAR i EDR pobierają wskaźniki z kolekcji TAXII i zamieniają je na reguły wykrywania lub blokady.
W WordPressie
Właściciel pojedynczej strony WordPress zwykle nie prowadzi serwera TAXII. Korzysta z efektów takiej wymiany pośrednio: dostawcy zapór aplikacyjnych i wtyczek bezpieczeństwa zasilają reguły listami adresów i sygnatur z własnych i zewnętrznych źródeł.
Firma, która obsługuje wiele stron, może zbudować taki łańcuch sama. Dokumentacja Wazuh pokazuje, jak pobrać bazę reputacji adresów IP AlienVault, przekształcić ją w listę CDB i automatycznie blokować adresy, które pojawią się w logach serwera Apache [8]. Wskaźniki pobrane z kolekcji TAXII można w ten sam sposób zamienić na listę blokad. Działa to także w drugą stronę: adresy skanerów szukających podatnych wtyczek, zapisane jako obiekty Indicator, można udostępnić partnerom z etykietą TLP.
Wskaźniki mają ograniczoną ważność. Adres IP używany przez botnet może po pewnym czasie trafić do innego, niewinnego użytkownika, dlatego przy automatycznej blokadzie liczy się okres ważności wskaźnika, zapisany w polu valid_from [2] i opcjonalnym valid_until. Ślepe blokowanie starych list prowadzi do fałszywych alarmów (false positive).
Wersje
Przypisy
8- [1] Introduction to STIX and TAXII — CTI Documentation · OASIS Cyber Threat Intelligence TC
- [2] STIX Version 2.1 — OASIS Standard · OASIS
- [3] TAXII Version 2.1 — OASIS Standard · OASIS
- [4] SP 800-150: Guide to Cyber Threat Information Sharing · NIST
- [5] Traffic Light Protocol (TLP) 2.0 · FIRST
- [6] Automated Indicator Sharing (AIS) · CISA
- [7] MISP — Open Source Threat Intelligence Platform · MISP Project
- [8] Blocking a known malicious actor — Proof of Concept guide · Wazuh