STIX (Structured Threat Information Expression, „strukturierter Ausdruck von Bedrohungsinformationen“) ist ein offener Standard der OASIS-Initiative Cyber Threat Intelligence (CTI), um Threat Intelligence maschinenlesbar zu beschreiben und auszutauschen. Wo früher Threat-Informationen als unstrukturierte PDFs, Mails und Tabellen kursierten, definiert STIX ein gemeinsames Vokabular für Angreifer, Kampagnen, Malware und Indikatoren.
Struktur: SDOs, SCOs und SROs
STIX 2.1 (verabschiedet 2021) modelliert Bedrohungen als JSON-Objekte in drei Klassen:
- STIX Domain Objects (SDOs): 18 Kerntypen, darunter indicator, malware, threat-actor, attack-pattern, campaign, intrusion-set, tool und vulnerability.
- STIX Cyber-observable Objects (SCOs): technische Beobachtungswerte wie ipv4-addr, domain-name oder file (Hashes).
- STIX Relationship Objects (SROs): Verbindungen wie „threat-actor uses malware“ oder „indicator indicates attack-pattern“ — die Objekte werden dadurch zu zusammenhängender Intelligenz.
Warum STIX?
Der Standard erlaubt es Security-Teams, Informationen über Angriffskampagnen auszutauschen, ohne das eigene Vokabular aufzugeben: Jede Organisation kann STIX-Objekte konsumieren, erweitern und wieder publizieren. Der Transport erfolgt typischerweise über TAXII, oft kombiniert mit Plattformen wie OpenCTI oder MISP.
Verwandte Grundlagen: TAXII, Indicators of Compromise (IOC), Threat Intelligence, MITRE ATT&CK, SIEM.