読み方：スティックス

STIX【Structured Threat Information eXpression】

概要

STIXとは、サイバー攻撃に関する情報を、ソフトウェアが読み取れる形式で共有するための標準データ形式。システム間や組織間で人手を介さず迅速に脅威情報を交換・配布できるようにする。

サイバー攻撃の手口が巧妙化する中、被害を防ぐには「どのような攻撃者が、どのような手法を用い、何を目印に攻撃してくるか」という情報を共有することが不可欠である。従来はこれらの情報が自然言語のレポートなどの形で作成・共有されていたため、異なるセキュリティツール間で自動的に連携させることが困難であった。

STIXは、攻撃者、マルウェア、脆弱性、攻撃手法、被害対象などの情報を統一的な構造やデータ形式で表現する方法を定義している。「オブジェクト」と呼ばれる定義済みのデータ構造を用いて脅威情報を記述し、それらの関係を「リレーションシップ」としてネットワーク状に関連付ける仕組みを備えている。

例えば、特定のマルウェアがどの攻撃グループに関連し、どの脆弱性を悪用し、どのような侵入経路を用いるかといった情報を相互に関連付けて表現できる。明確なデータ形式と構造化により、分析ツールやセキュリティ製品が情報を自動的に取り込み、検知ルールの生成やリスク評価に活用することが可能となる。

STIXの標準化は業界団体のOASISによって進められている。初版ではXMLベースの記法を採用していたが、バージョン2からはJSON記法に改められている。STIXは単独で利用されるだけでなく、脅威情報をやり取りするための通信仕様である「TAXII」（Trusted Automated eXchange of Intelligence Information）と組み合わせて運用されることが多い。