STIX и TAXII: Как обмениваться данными об угрозах
STIX и TAXII начинается с вопроса или поведения, которое необходимо обнаружить, продолжается определением телеметрии и логики, а заканчивается тестированием, настройкой, документированием и контролируемым развертыванием. Качество измеряется покрытием и возможностью исследования.
Threat Hunting и Detection Engineering преобразуют знания о поведении противника в измеримые вопросы, источники данных и правила обнаружения. Цель состоит не в том, чтобы генерировать больше предупреждений, а в том, чтобы улучшить покрытие и качество принятия решений. Данная статья посвящена STIX и TAXII и предназначена для аналитиков и специалистов по интеграции. Цель состоит в том, чтобы предоставить методологию работы, которую можно применять на практике, на профессиональном собеседовании и в рабочей среде, не ограничиваясь словарным определением.
Основная проблема заключается в том, что данные почти всегда неполны. STIX objects, relationships, bundles могут указывать направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы будем строить проверку вокруг исследовательского вопроса, необходимых доказательств и четкого критерия завершения.
Практический сценарий в статье: сопоставление имитированного IOC с STIX objects. Все примеры являются лабораторными данными или описаниями процессов. При работе с Penetration Testing, Web или Cloud следует работать только с явным разрешением, определенным Scope и возможностью остановить проверку.
