読み方：タクシー

TAXII【Trusted Automated eXchange of Intelligence Information】

概要

TAXIIとは、サイバー攻撃に関する脅威情報を組織間で自動的に共有するための通信プロトコル。HTTPSをベースとしたWeb APIとして設計されており、セキュリティ製品や監視システム、脅威インテリジェンス基盤などの間で脅威情報を機械的に配布・収集する仕組みを提供する。

脅威情報を提供するサーバとそれを利用するクライアントの間で通信を行う手順を定めている。サーバ上には「コレクション」（collection）と呼ばれる情報のまとまりが置かれており、クライアントはそこから必要なデータを取得する。また、クライアントからサーバへ情報を送り込む「チャンネル」（channel）という仕組みも仕様に含まれている。メール送信やファイル配布といった人手を介した手続きを経ずに、組織間での情報連携が自動化される。

TAXIIは脅威情報の内容や形式を定義するものではなく、その送受信の手順を定めるものである。実際には「STIX」（Structured Threat Information eXpression）と組み合わせて運用されることが多く、STIXで記述した脅威情報をTAXIIで送受信する構成が広く普及している。STIXが情報の書式を定めるのに対し、TAXIIはその配布・取得の手順を定める。

やり取りされる情報としては、不正なIPアドレスやドメイン名、マルウェアの識別情報、攻撃グループの活動状況、脆弱性に関するデータなどがある。これらをSIEM（Security Information and Event Management）やSOAR（Security Orchestration, Automation and Response）といったセキュリティ製品に自動で取り込むことで、既知の脅威への対応を迅速化できる。

バージョン1.x系ではXMLベースの独自通信方式が採用されていたが、2.0以降はRESTful APIとJSONを用いた設計に改められ、他システムとの連携が容易になった。現在広く使われているのは2.1であり、標準化団体のOASIS（Organization for the Advancement of Structured Information Standards）によって規格が発行されている。

TAXIIが普及した背景には、高度化するサイバー攻撃に対して単一の組織だけで防御することの限界がある。民間のセキュリティ情報共有組織（ISACやISAOなど）、政府機関などが運営するTAXIIサーバが世界各地に設置されており、企業や官公庁、セキュリティベンダーが相互に連携して脅威情報を共有する体制の整備が進んでいる。

(2026.6.8更新)