Definition Structured Threat Information eXpression (STIX)

Was ist STIX?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

STIX (Structured Threat Information eXpression) ist eine standardisierte Sprache zur Beschreibung von Cyber-Bedrohungen.
STIX (Structured Threat Information eXpression) ist eine standardisierte Sprache zur Beschreibung von Cyber-Bedrohungen. (Bild: OASIS)

STIX (Structured Threat Information eXpression) ist eine von der OASIS standardisierte Sprache, mit der sich Bedrohungen im Cyber-Umfeld beschreiben lassen. STIX kann direkt oder über Tools vom Menschen gelesen werden und lässt sich automatisch von Maschinen verarbeiten.

Die Abkürzung STIX steht für Structured Threat Information eXpression. Es handelt sich um eine standardisierte Sprache zur Beschreibungen von Cyber-Bedrohungen. Die Informationen lassen sich einfach teilen, speichern, analysieren oder automatisiert verarbeiten. Die dargestellten Cybergefahren sind sowohl vom Menschen lesbar als auch in maschinelle Prozesse integrierbar. Die Betreuung der Sprache leistet die OASIS (Organization for the Advancement of Structured Information Standards). Die Non-Profit-Organisation fördert die Entwicklung, Verbreitung und Anwendung von offenen Standards im Internet.

Häufiger Anwendungsbereich von Structured Threat Information eXpression sind Threat Intelligence Services. Den Verteilmechanismus für die Informationen stellt TAXII (Trusted Automated eXchange of Indicator Information) zur Verfügung. Die aktuelle Version 2.0 ist auf der STIX-2.0-Webseite zu finden. Tools und weitere Bindings rund um die Sprache hält GitHub bereit.

Zusammenarbeit in der IT-Sicherheit

Data Exchange Layer (DXL)

Zusammenarbeit in der IT-Sicherheit

23.03.17 - Kaum ein Unternehmen setzt nur Lösungen von einem Sicherheitsanbieter ein, aber die wenigsten Sicherheitslösungen zur Malware- und Angriffserkennung kommunizieren mit den Lösungen anderer Hersteller. Damit Unternehmen auf das gebündelte Wissen verschiedener Hersteller zugreifen können, gibt es den Data Exchange Layer (DXL). DXL ist eine von Intel Security entworfene Plattform in der es die Open-Source-Standards STIX und TAXII den Austausch von Informationen über Sicherheitslücken, Angriffsvektoren und geeignete Gegenmaßnahmen ermöglichen. lesen

Die mit Structured Threat Information eXpression beschriebenen neun Elemente

Den Kern der Sprache bilden neun Elemente. Die Elemente sowie deren Verbindungen untereinander werden von STIX beschrieben. Die neun Elemente sind:

  • 1. Beobachtungen im Cyberumfeld
  • 2. Indikatoren mit Mustern
  • 3. Vorfälle
  • 4. Angriffstechniken und Prozeduren
  • 5. Exploit-Ziele
  • 6. Gegenmaßnahmen für Angriffe
  • 7. Kampagnen bestehende aus mehreren Ereignissen oder Vorfällen mit gemeinsamer Absicht
  • 8. Identifizierungsmerkmale und Charakteristiken der Angriffsgegner
  • 9. Reports mit relevantem Inhalt

Abgrenzung zwischen STIX und TAXII

STIX und TAXII werden oft im gleichen Kontext genannt, lassen sich jedoch, was Funktion und Arbeitsweise angeht, klar voneinander abgrenzen. Beide Standards wurden entwickelt, um über Cyber-Bedrohungen zu informieren und diese abzuwehren oder zu entschärfen. Während STIX die Beschreibungssprache für die Bedrohungen ist, liefert TAXII die Verteilmechanismen für die Informationen. Es werden Funktionen bereitgestellt wie automatisiertes und gesichertes Verteilen oder das Abonnieren von Datensätzen. TAXII arbeitet unabhängig von der Sprache und ist prinzipiell mit anderen Formaten nutzbar. Mit TAXII sind die Kommunikationsmodelle Hub-and-Spoke, Peer-to-Peer sowie Quelle und Abonnent realisierbar.

Industrie 4.0 – was leisten Sicherheitsstandards?

Smart Factory

Industrie 4.0 – was leisten Sicherheitsstandards?

11.07.16 - Immer mehr ehemals isolierte Systeme werden vernetzt und gehen online. Nur die IT-Sicherheit besteht weiterhin aus einzelnen Lösungen, die nicht miteinander reden. Neue Sicherheitsstandards und eine Allianz der Sicherheitsanbieter sollen nun helfen, die Verteidigung zu koordinieren. lesen

Unterschiede zwischen STIX 1.x und STIX 2.0

Die aktuelle Version ist STIX 2.0. Gegenüber den Vorgängerversionen 1.x weist die Version einige Unterschiede auf. Während die Versionen 1.x mit XML als Serialisierungssprache arbeiteten, verwendet die Version 2.0 JSON. Ein weiterer Unterschied ist, dass in der aktuellen Version Top-Level-Relationship-Objekte vorhanden sind. Die Versionen 1.x kannten diesen Objekttyp nicht und mussten für die Beschreibung einer Beziehung zwischen Objekten eines der Objekte verändern. Die Muster der Indikatoren wurden in den 1.x-Versionen in XML-Syntax dargestellt. Die Version 2.0 hat eine eigene Muster-Beschreibungssprache, die unabhängig von der Serialisierungssprache ist.

Anwendungsbereiche von STIX im Bereich der Threat Intelligence

Structured Threat Information eXpression lässt sich einsetzen, um Systeme oder Netzwerke vor Cyber-Bedrohungen zu schützen. Die Sprache wird unter anderem verwendet von:

  • Sicherheitsexperten
  • Sicherheitsanalysten
  • Malware-Analysten
  • Herstellern von Sicherheitssoftware und -hardware
  • Unternehmen

Die gelieferten Informationen sind für die Prävention, Abwehr und Erkennung von Gefahren nutzbar. Viele Sicherheitsprodukte besitzen entsprechende STIX- und TAXII-Schnittstellen und sind in der Lage, Informationen automatisiert zu verarbeiten. Dies ermöglicht die unmittelbare Reaktion auf Bedrohungen und den Austausch von Informationen über Herstellergrenzen hinweg. Beispielsweise lassen sich Identifizierungsmerkmale einer Malware an eine Firewall weitergeben, die die weitere Verbreitung der Schadsoftware unterbindet.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Was ist ein Indicator of Compromise?

Definition Indicator of Compromise (IoC)

Was ist ein Indicator of Compromise?

Indicator of Compromise (IoC) sind Merkmale und Daten, die auf die Kompromittierung eines Computersystems oder Netzwerks hinweisen. Es handelt sich beispielsweise um außergewöhnliche Netzaktivitäten, besondere Dateien, Einträge in Logfiles oder gestartete Prozesse. Die Kompromittierungsindikatoren lassen sich in eine strukturierte Form bringen und automatisiert auswerten. lesen

Was ist TAXII?

Definition Trusted Automated eXchange of Indicator Information (TAXII)

Was ist TAXII?

TAXII (Trusted Automated eXchange of Indicator Information) stellt standardisierte Mechanismen und Kommunikationsmodelle zur Verteilung und zum Austausch von Informationen über Cyber-Bedrohungen zur Verfügung. Es ist für die Zusammenarbeit mit der Beschreibungssprache für Cyber-Bedrohungen STIX konzipiert, arbeitet aber auch mit anderen Formaten zusammen. lesen

Mit Apache Metron Big-Data-Projekte schützen

Open-Source-Security-Lösung Apache Metron

Mit Apache Metron Big-Data-Projekte schützen

Big-Data-Projekte sind nicht nur für Firmen interessant, sondern auch für Cyberkriminelle. Apache Metron ist ein Open-Source-Projekt für ein Security-Analytics-Framework. Die Lösung besteht aus Modulen zum Parsen, Normalisie­ren und Anreichern von Daten mit internen und externen Bedrohungsinformationen und soll Big-Data-Projekte vor unbefugtem Zugriff schützen. lesen

Organisiert gegen Cyberkriminalität

Security Operations Center (SOC)

Organisiert gegen Cyberkriminalität

Das Security Operations Center (SOC) bildet die perfekte Kombination aus innovativen Werkzeugen, effizienten Prozessen und hervorragend ausgebildeten Mitarbeitern, um gegen heutige digitale Bedrohungen gewappnet zu sein. Meist verortet man ein SOC allerdings nur bei großen Konzernen, dabei lohnt sich auch für den Mittelstand die Investition in ein SOC. lesen

Cyber Kill Chain - Grundlagen, Anwendung und Entwicklung

Was ist die Lockheed Martin Cyber Kill Chain?

Cyber Kill Chain - Grundlagen, Anwendung und Entwicklung

Wer Cyber-Attacken früher erkennen und abwehren will, muss die Ziele und das Vorgehen der Angreifer verstehen und die Abwehr danach ausrichten. Die Lockheed Martin Cyber Kill Chain ist ein mehrstufiges Modell zur Analyse von Attacken und zum Aufbau der Abwehr entlang der Angriffsschritte. lesen

Automatisierter Schutz vor Cyberkriminalität

Threat Defense Lifecycle

Automatisierter Schutz vor Cyberkriminalität

IT-Bedrohungen werden immer komplexer. Um mit der wachsenden Bedrohung Schritt halten zu können, müssen Anbieter und Unternehmen neue Wege beschreiten, um sich vor Gefahren schützen zu können. Eine automatisierte Strategie kann dabei helfen, virtuelle Angriffe besser erkennen und bekämpfen zu können. Um eine Automatisierung der IT-Sicherheit zu erreichen, müssen Unternehmen allerdings zuerst wichtige Security-Systeme vernetzen. lesen

Zusammenarbeit in der IT-Sicherheit

Data Exchange Layer (DXL)

Zusammenarbeit in der IT-Sicherheit

Kaum ein Unternehmen setzt nur Lösungen von einem Sicherheitsanbieter ein, aber die wenigsten Sicherheitslösungen zur Malware- und Angriffserkennung kommunizieren mit den Lösungen anderer Hersteller. Damit Unternehmen auf das gebündelte Wissen verschiedener Hersteller zugreifen können, gibt es den Data Exchange Layer (DXL). DXL ist eine von Intel Security entworfene Plattform in der es die Open-Source-Standards STIX und TAXII den Austausch von Informationen über Sicherheitslücken, Angriffsvektoren und geeignete Gegenmaßnahmen ermöglichen. lesen

Kernfähigkeiten eines Security Operations Center (SOC)

Cyber Incident Handling

Kernfähigkeiten eines Security Operations Center (SOC)

Wer bereits die Gelegenheit hatte, ein SOC in Augenschein zu nehmen, dem bleiben meist eine Reihe von Details gut im Gedächtnis: physische Sicherheitsmaßnahmen am Eingang, bunte Dashboards und Diagramme auf einem großen zentralen Monitor und hochkonzentrierte Analysten vor ihren Bildschirmen. Doch was genau ist notwendig, damit ein SOC seinen Auftrag erfüllen kann? lesen

Industrie 4.0 – was leisten Sicherheitsstandards?

Smart Factory

Industrie 4.0 – was leisten Sicherheitsstandards?

Immer mehr ehemals isolierte Systeme werden vernetzt und gehen online. Nur die IT-Sicherheit besteht weiterhin aus einzelnen Lösungen, die nicht miteinander reden. Neue Sicherheitsstandards und eine Allianz der Sicherheitsanbieter sollen nun helfen, die Verteidigung zu koordinieren. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45930137 / Definitionen)