➡️ Что такое STIX и TAXII? ❓ Данные термины в киберразведке используются часто вместе, но что это такое и зачем они нужны?
🔺 STIX (Structured Threat Information eXpression) — это стандартный язык для структурированного описания и обмена информацией о киберугрозах. Он предоставляет общую структуру для представления данных об индикаторах компрометации, тактиках, техниках и процедурах угроз, а также участников угроз. Это позволяет организациям более эффективно обмениваться и анализировать разведывательную информацию для улучшения защиты и реагирования на инциденты
🔺 TAXII (Trusted Automated eXchange of Intelligence Information) — это протокол и набор сервисов, который обеспечивает стандартизованный и автоматизированный обмен информацией, представленной в формате STIX, между организациями. TAXII использует HTTPS и RESTful API для передачи данных, обеспечивает обнаружение, управление коллекциями данных и поддерживает различные модели обмена. Это позволяет организациям надежно и эффективно обмениваться актуальной информацией об угрозах в автоматическом режиме.
👀 Получается, что STIX отвечает за структуру и формат описания угроз, а TAXII - за способ передачи информации об угрозах. Именно поэтому они используются совместно для улучшения обмена информации об угрозах. Но как это все выглядит на практике?
Пример STIX:
{
"type": "bundle",
"id": "bundle--12345678-1234-1234-1234-123456789abc",
"objects": [
{
"type": "indicator",
"id": "indicator--abcd1234-5678-90ef-ghij-klmnopqrstuv",
"created": "2025-09-30T12:00:00Z",
"modified": "2025-09-30T12:00:00Z",
"name": "Malicious IP Address",
"description": "Known IP address associated with malware command and control",
"pattern": "[ipv4-addr:value = '192.0.2.1']",
"pattern_type": "stix",
"valid_from": "2025-09-01T00:00:00Z"
}
]
}Этот пример описывает "индикатор" — IP-адрес
192.0.2.1, который ассоциируется с вредоносной активностью. В STIX используются объекты с типами, например "indicator", а также указывается паттерн (pattern) для обозначения конкретного признака угрозы.
