Cos'è STIX/TAXII?

Cos'è STIX/TAXII?

STIX/TAXII è un'iniziativa globale progettata per mitigare e prevenire le minacce informatiche. Lanciata nel dicembre 2016 dal Dipartimento per la sicurezza interna degli Stati Uniti (DHS), l'organizzazione è ora gestita da OASIS, un'organizzazione senza scopo di lucro che promuove lo sviluppo, l'adozione e la convergenza di standard aperti per Internet.

Structured Threat Information eXpression (STIX) è un linguaggio standardizzato che utilizza un lessico basato su JSON per esprimere e condividere informazioni di intelligence delle minacce in un formato leggibile e coerente. È simile al modo in cui una lingua comune può aiutare persone provenienti da diverse parti del mondo a comunicare. Ma invece di una conversazione tra persone, STIX consente lo scambio di informazioni sulle minacce informatiche tra sistemi. STIX fornisce una sintassi comune in modo che gli utenti possano descrivere le minacce in modo coerente in base alle loro motivazioni, abilità, capacità e risposte.

Trusted Automated eXchange of Intelligence Information (TAXII) è il formato attraverso il quale vengono trasmessi i dati di intelligence delle minacce. TAXII è un protocollo di trasporto che supporta il trasferimento di informazioni STIX su Hyper Text Transfer Protocol Secure (HTTPS).

Una nota fondamentale è che STIX e TAXII sono standard indipendenti. STIX non si basa su un metodo di trasporto specifico e TAXII può essere utilizzato per trasportare informazioni e dati non-STIX.

Se utilizzati insieme, STIX e TAXII formano un framework per la condivisione e l'utilizzo dell'intelligence delle minacce, creando una piattaforma open source che consente agli utenti di cercare record contenenti dettagli dei vettori di attacco quali indirizzi IP dannosi, firme di malware e autori delle minacce.

Come funziona STIX?

STIX funziona fornendo un linguaggio comune per descrivere gli indicatori di minaccia, gli incidenti e le violazioni dei dati. Può essere utilizzato manualmente o programmato tramite editor XML, associazioni Python e Java, API e utilità Python. I dati vengono organizzati in pacchetti STIX e poi condivisi tramite vari metodi, tra cui lo scambio di file, le API o la pubblicazione su una piattaforma di intelligence delle minacce.

STIX fornisce una serie di vocabolari e modelli di dati consigliati, semplificando per le organizzazioni la descrizione delle tipologie e delle strutture delle minacce più comuni.

Come funziona TAXII?

TAXII funziona definendo i protocolli per lo scambio di dati, inclusi i formati dei messaggi, i protocolli di comunicazione e i requisiti di sicurezza.

Due concetti chiave in TAXII sono la raccolta e il canale. Una raccolta è un insieme di pacchetti STIX organizzati e gestiti da un'unica entità, come un fornitore di sicurezza o un'agenzia governativa. Un canale consente alle organizzazioni di accedere a una raccolta specifica, ad esempio tramite un'API, lo scambio di file o una piattaforma di intelligence delle minacce. Un canale permette agli utenti di trasmettere dati a più destinatari.

Perché STIX/TAXII è importante?

STIX/TAXII è importante perché migliora la sicurezza complessiva di un'organizzazione, potenziandone la capacità di rilevare, rispondere e prevenire le minacce informatiche.

STIX/TAXII consente di:

1. Migliorare la condivisione dell'intelligence delle minacce: STIX/TAXII fornisce alle organizzazioni un linguaggio comune per condividere e scambiare informazioni sulle minacce.
2. Potenziare il rilevamento e la risposta alle minacce: grazie a un metodo standard per rappresentare i dati sulle minacce, le organizzazioni sono in grado di automatizzare il rilevamento, l'analisi e la risposta alle minacce.
3. Aumenta la precisione dell'intelligence: il framework STIX/TAXII aiuta a garantire che i dati di intelligence siano coerenti, completi e accurati. Migliora la qualità e l'utilità dei dati di intelligence delle minacce.
4. Incoraggiare la collaborazione: le organizzazioni sono in grado di condividere i dati in modo sicuro e scalabile, il che promuove la collaborazione e la condivisione delle informazioni tra le organizzazioni.
5. Automatizzare il supporto: l'uso di un linguaggio e di standard comuni in STIX/TAXII rende più facile per le organizzazioni automatizzare i processi di rilevamento, analisi e risposta alle minacce, il che si traduce in un miglioramento dell'efficienza e una riduzione del rischio di errore umano.

Quali sono i diversi modi per utilizzare STIX/TAXII?

Sin dal suo lancio, STIX/TAXII è stato utilizzato dalle agenzie di tutto il mondo per migliorare la loro comprensione delle minacce online. Esistono diversi modi per utilizzare il framework STIX/TAXII per lo scambio di dati di intelligence delle minacce:

1. Piattaforme di intelligence delle minacce: le organizzazioni possono pubblicare e accedere ai dati STIX attraverso una piattaforma di intelligence delle minacce che funge da repository centrale per la condivisione e lo scambio di dati e informazioni sulle minacce.
2. Integrazioni delle API: gli analisti delle minacce possono utilizzare le API per scambiare dati con altri strumenti e sistemi di sicurezza.
3. Scambi di file: le organizzazioni possono scambiare pacchetti STIX come file, consentendo un semplice scambio di dati tra i sistemi.
4. Feed di dati in tempo reale: i team di analisti possono sfruttare TAXII per abbonarsi ai feed di dati in tempo reale dei provider.
5. Caccia alle minacce: gli analisti della sicurezza possono utilizzare STIX/TAXII per organizzare e ricercare i dati di intelligence delle minacce, semplificando l'identificazione delle minacce e il supporto delle indagini.
6. Rilevamento automatizzato delle minacce: i team di sicurezza possono utilizzare STIX/TAXII per automatizzare il processo di rilevamento delle minacce, consentendo loro di identificare e rispondere rapidamente alle nuove minacce.

Cloudforce One

Cloudforce One è un team di ricerca e operazioni sulle minacce creato per tracciare e interrompere gli autori delle minacce. Le avanzate capacità di intelligence delle minacce del team consentono una copertura completa di tutte le entità nel panorama delle minacce e aiutano le organizzazioni a rimanere all'avanguardia e ad agire prima che qualsiasi minaccia possa causare danni.