Worum handelt es sich bei STIX und TAXII?

Notwendigkeit eines Standards für die gemeinsame Nutzung von TI

STIX und TAXII sind Standards, die mit dem Ziel entwickelt wurden, Cyberangriffe zu vermeiden und zu entschärfen. STIX steht für die Art der Threat Intelligence, während TAXII definiert, wie diese Informationen weitergegeben werden. Anders als frühere Methoden des Austauschs sind STIX und TAXII maschinell lesbar und lassen sich somit leicht automatisieren.

STIX/TAXII zielt auf die Verbesserung von Sicherheitsmaßnahmen auf verschiedene Arten ab:

• Erweiterung der Möglichkeiten beim aktuellen Austausch von Threat Intelligence
• Ausgleich der Reaktionszeiten durch proaktive Erkennung
• Förderung eines ganzheitlichen Ansatzes für Threat Intelligence

Die Standards STIX/TAXII werden in einer offenen, gemeinschaftsorientierten Initiative etabliert, die kostenlose Spezifikationen bereitstellt, um die automatische Darstellung von Informationen zu Cyberbedrohungen zu unterstützen. Für beide gibt es eine aktive Community von Entwicklern und Analysten.

TAXII

TAXII, kurz für Trusted Automated eXchange of Intelligence Information, definiert, wie Informationen zu Cyberbedrohungen über Dienste und Nachrichtenaustausch weitergegeben werden können. Dieser Standard wurde speziell zur Unterstützung von STIX-Informationen entwickelt, nämlich durch die Definition einer API, die an gängigen Austauschmodellen ausgerichtet ist. Zu den drei wichtigsten Modellen für TAXII zählen:

1. Hub und Spoke: Ein Repository mit Informationen
2. Quelle/Abonnent: Eine einzige Informationsquelle
3. Peer-to-Peer: Informationen werden von mehreren Gruppen gemeinsam genutzt

TAXII definiert vier Dienste. Benutzer können so viele auswählen und implementieren, wie sie benötigen, und für verschiedene Austauschmodelle untereinander kombinieren.

1. Erkennung: Eine Methode, zu erfahren, welche Dienste eine Einheit unterstützt und wie mit ihnen interagiert wird
2. Sammlungsverwaltung: Eine Methode, etwas über Datensammlungen zu erfahren und Abonnements für sie anzufordern
3. Posteingang: Eine Methode, Nachrichten zu erhalten (Push-Nachrichtenübermittlung)
4. Abfrage: Eine Methode, Inhalte anzufordern (Pull-Nachrichtenübermittlung)

STIX-/TAXII-Tools

Anomali stellt ein Dienstprogramm namens STAXX zur Verfügung, mit dem Sie ganz einfach kostenlos jeden STIX/TAXII-Feed abonnieren und Indikatoren über STIX/TAXII übertragen können. Um zu beginnen, gehen Sie einfach wie folgt vor:

1. Laden Sie den STAXX-Client herunter.
2. Konfigurieren Sie Ihre Datenquellen.
3. Richten Sie Ihren Download-Zeitplan ein.

Durch Einrichten eines Kontos im STAXX-Portal können Benutzer über einen Gefährdungsindikator (Indicator of Compromise, IOC) Informationen zu Bedrohungsakteuren, Kampagnen und TTPs abrufen. STAXX ist zudem mit einem Feed vorkonfiguriert: Limo. Benutzer können außerdem auf zusätzliche Anomali-Feeds mit Threat Intelligence zugreifen und eine Vorschau auf die Funktionen der Threat Intelligence-Plattform ThreatStream von Anomali erhalten.