A eficácia da Ciberinteligência de Ameaças (CTI - Cyber Threat Intelligence) é diretamente proporcional à sua velocidade, precisão e capacidade de ser acionada. Historicamente, a disseminação de CTI era prejudicada por formatos não estruturados (como relatórios em PDF e e-mails), que exigiam interpretação humana e inserção manual de dados em ferramentas de segurança, um processo lento e propenso a erros.
Para resolver a falta de interoperabilidade, a comunidade de segurança desenvolveu um conjunto de padrões abertos para a troca de CTI máquina-a-máquina. A suíte STIX/TAXII foi projetada para ser a base dessa automação, fornecendo um modelo de dados robusto e um protocolo de transporte para sua disseminação. Este artigo detalha a arquitetura e os componentes técnicos desses padrões.
O STIX é um modelo de dados serializável e baseado em grafos, projetado para representar a CTI de forma estruturada. Em sua versão 2.x, ele é composto por um conjunto de objetos interconectados, permitindo a criação de uma narrativa contextual sobre uma ameaça. Esses objetos são divididos em duas categorias principais:
[file:hashes.'MD5' = 'd41d8cd98f00b204e9800998ecf8427e'].[Threat-Actor:id] --(uses)--> [Malware:id].O TAXII é um protocolo da camada de aplicação que padroniza a comunicação e a troca de CTI (em formato STIX) sobre HTTPS. Ele funciona como uma API RESTful, permitindo que diferentes plataformas de segurança interajam de forma programática.
A arquitetura de um servidor TAXII é definida por seus endpoints:
O modelo de interação é o de cliente-servidor, onde um cliente TAXII (como um SIEM ou uma Threat Intelligence Platform - TIP) se conecta, se autentica, descobre as coleções disponíveis e realiza o “pull” (puxa) dos dados STIX para ingestão local.
Para descrever as evidências forenses de forma granular, o STIX 2.x integrou completamente os conceitos do padrão legado CybOX (Cyber Observable eXpression). Esses objetos são agora chamados de SCOs (STIX Cyber-observable Objects).
Enquanto um SDO Indicator contém o padrão de uma ameaça, os SCOs fornecem o vocabulário para descrever os dados brutos observados. Exemplos de SCOs incluem: File, IPv4-Addr, Domain-Name, Mutex, Windows-Registry-Key, entre muitos outros. Eles fornecem a estrutura detalhada para a evidência que fundamenta a inteligência.
O poder da suíte STIX/TAXII se manifesta no fluxo de trabalho automatizado que ela permite:
Indicator é criado com um padrão de detecção. Este Indicator é conectado através de um Relationship a um Malware, que por sua vez está relacionado a um Threat Actor.Collection relevante em um servidor TAXII.Collection, automaticamente baixa os novos objetos STIX. A plataforma SOAR então executa um playbook:
Indicator.A arquitetura STIX/TAXII fornece os modelos de dados e protocolos de transporte necessários para alcançar uma interoperabilidade sem precedentes no compartilhamento de inteligência de ameaças. Essa padronização permite a transição de um paradigma reativo, dependente da análise manual de relatórios, para uma postura de defesa proativa e automatizada. Em um cenário onde as ameaças operam em velocidade de máquina, a capacidade de compartilhar e agir sobre a inteligência de forma igualmente rápida não é apenas uma vantagem, mas uma necessidade para as operações de segurança modernas.