STIX
Простыми словами
Проще говоря, «STIX» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «STIX» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «STIX», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- TAXIITAXII — протокол обмена данными о киберугрозах, включая передачу коллекций STIX.
- MISPMISP — платформа для хранения, обмена и совместной аналитики индикаторов и сведений об угрозах.
- Контекстуализация индикатораКонтекстуализация индикатора — добавление к индикатору сведений о происхождении, времени, кампании, уверенности и применимости.
Как это работает
- Создать STIX-объектыНаблюдения представляют как indicator, malware, identity, relationship и другие типы.
- Связать и снабдить контекстомОбъектам задают идентификаторы, время, доверие, маркировку и отношения.
- Передать наборSTIX-контент обменивается через TAXII или другой согласованный канал.
- Проверить и применитьПолучатель валидирует источник и использует только релевантные данные.
Частые вопросы
Проще говоря, «STIX» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «STIX» применяют на практике?В практике ИБ термин «STIX» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «STIX» отличается от близких понятий?«STIX» описывает следующее: машиночитаемый язык представления киберразведывательных данных и связей между угрозами, индикаторами, инфраструктурой, кампаниями и другими объектами. «TAXII» означает: протокол обмена данными о киберугрозах, включая передачу коллекций STIX. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.