Definition Structured Threat Information eXpression (STIX) Was ist STIX?

STIX (Structured Threat Information eXpression) ist eine von der OASIS standardisierte Sprache, mit der sich Bedrohungen im Cyber-Umfeld beschreiben lassen. STIX kann direkt oder über Tools vom Menschen gelesen werden und lässt sich automatisch von Maschinen verarbeiten.

Anbieter zum Thema

Cohesity GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Arctic Wolf Networks Germany GmbH

Die Abkürzung STIX steht für Structured Threat Information eXpression. Es handelt sich um eine standardisierte Sprache zur Beschreibungen von Cyber-Bedrohungen. Die Informationen lassen sich einfach teilen, speichern, analysieren oder automatisiert verarbeiten. Die dargestellten Cybergefahren sind sowohl vom Menschen lesbar als auch in maschinelle Prozesse integrierbar. Die Betreuung der Sprache leistet die OASIS (Organization for the Advancement of Structured Information Standards). Die Non-Profit-Organisation fördert die Entwicklung, Verbreitung und Anwendung von offenen Standards im Internet.

Häufiger Anwendungsbereich von Structured Threat Information eXpression sind Threat Intelligence Services. Den Verteilmechanismus für die Informationen stellt TAXII (Trusted Automated eXchange of Indicator Information) zur Verfügung. Die aktuelle Version 2.0 ist auf der STIX-2.0-Webseite zu finden. Tools und weitere Bindings rund um die Sprache hält GitHub bereit.

Data Exchange Layer (DXL)

Zusammenarbeit in der IT-Sicherheit

Die mit Structured Threat Information eXpression beschriebenen neun Elemente

Den Kern der Sprache bilden neun Elemente. Die Elemente sowie deren Verbindungen untereinander werden von STIX beschrieben. Die neun Elemente sind:

• 1. Beobachtungen im Cyberumfeld

• 2. Indikatoren mit Mustern

• 3. Vorfälle

• 4. Angriffstechniken und Prozeduren

• 5. Exploit-Ziele

• 6. Gegenmaßnahmen für Angriffe

• 7. Kampagnen bestehende aus mehreren Ereignissen oder Vorfällen mit gemeinsamer Absicht

• 8. Identifizierungsmerkmale und Charakteristiken der Angriffsgegner

• 9. Reports mit relevantem Inhalt

Abgrenzung zwischen STIX und TAXII

STIX und TAXII werden oft im gleichen Kontext genannt, lassen sich jedoch, was Funktion und Arbeitsweise angeht, klar voneinander abgrenzen. Beide Standards wurden entwickelt, um über Cyber-Bedrohungen zu informieren und diese abzuwehren oder zu entschärfen. Während STIX die Beschreibungssprache für die Bedrohungen ist, liefert TAXII die Verteilmechanismen für die Informationen. Es werden Funktionen bereitgestellt wie automatisiertes und gesichertes Verteilen oder das Abonnieren von Datensätzen. TAXII arbeitet unabhängig von der Sprache und ist prinzipiell mit anderen Formaten nutzbar. Mit TAXII sind die Kommunikationsmodelle Hub-and-Spoke, Peer-to-Peer sowie Quelle und Abonnent realisierbar.

Smart Factory

Industrie 4.0 – was leisten Sicherheitsstandards?

Unterschiede zwischen STIX 1.x und STIX 2.0

Die aktuelle Version ist STIX 2.0. Gegenüber den Vorgängerversionen 1.x weist die Version einige Unterschiede auf. Während die Versionen 1.x mit XML als Serialisierungssprache arbeiteten, verwendet die Version 2.0 JSON. Ein weiterer Unterschied ist, dass in der aktuellen Version Top-Level-Relationship-Objekte vorhanden sind. Die Versionen 1.x kannten diesen Objekttyp nicht und mussten für die Beschreibung einer Beziehung zwischen Objekten eines der Objekte verändern. Die Muster der Indikatoren wurden in den 1.x-Versionen in XML-Syntax dargestellt. Die Version 2.0 hat eine eigene Muster-Beschreibungssprache, die unabhängig von der Serialisierungssprache ist.

Anwendungsbereiche von STIX im Bereich der Threat Intelligence

Structured Threat Information eXpression lässt sich einsetzen, um Systeme oder Netzwerke vor Cyber-Bedrohungen zu schützen. Die Sprache wird unter anderem verwendet von:

• Sicherheitsexperten

• Sicherheitsanalysten

• Malware-Analysten

• Herstellern von Sicherheitssoftware und -hardware

• Unternehmen

Die gelieferten Informationen sind für die Prävention, Abwehr und Erkennung von Gefahren nutzbar. Viele Sicherheitsprodukte besitzen entsprechende STIX- und TAXII-Schnittstellen und sind in der Lage, Informationen automatisiert zu verarbeiten. Dies ermöglicht die unmittelbare Reaktion auf Bedrohungen und den Austausch von Informationen über Herstellergrenzen hinweg. Beispielsweise lassen sich Identifizierungsmerkmale einer Malware an eine Firewall weitergeben, die die weitere Verbreitung der Schadsoftware unterbindet.

(ID:45930137)