Structured Threat Information Expression (STIX) opisuje informacje o zagrożeniach jako typizowane obiekty — wskaźniki, złośliwe oprogramowanie, aktorów zagrożeń, kampanie, relacje — tak by różni producenci i konsumenci mogli wymieniać jednoznaczną, czytelną maszynowo zawartość. Trusted Automated eXchange of Intelligence Information (TAXII) dostarcza model usługi transportowej, eksponujący kolekcje i kanały przez HTTPS.
Razem stanowią podstawę większości nowoczesnej wymiany informacji o zagrożeniach: strumienie ISAC i społecznościowe, synchronizacja platforma–platforma oraz potoki wzbogacania powszechnie mówią STIX 2.x przez TAXII 2.x. Standardy definiują format i transport, a nie jakość treści — strumień STIX jest tak użyteczny, jak analiza i kuracja za nim stojąca.
Najważniejsze punkty
Obiekty STIXObiekty domenowe opisują jednostki takie jak wskaźniki, złośliwe oprogramowanie, aktorzy zagrożeń i narzędzia; obiekty relacyjne łączą je w struktury grafowe; obiekty cyber-obserwowalne opisują fakty techniczne, takie jak pliki, adresy i wartości rejestru.
Usługi TAXIIKolekcje zapewniają pobieranie zawartości na żądanie, a kanały wspierają dystrybucję publikuj–subskrybuj; serwer TAXII może hostować jedno lub oba.
Użycie operacyjneMapuj przychodzące obiekty na lokalne schematy, zachowuj pochodzenie i pewność oraz oceniaj, jak strumienie są filtrowane, deduplikowane, wygaszane i mierzone — zamiast maksymalizować objętość pobierania.
Istotne ograniczenieZgodność z formatem nic nie mówi o dokładności, trafności ani aktualności. Wiele strumieni zawiera nieaktualne lub niskiej pewności wskaźniki, a ślepe zautomatyzowane pobieranie może importować szum lub fałszywe trafienia do kontroli detekcyjnych.