TAXII

TAXII (Trusted Automated eXchange of Indicator Information, czyli zaufana automatyczna wymiana informacji o wskaźnikach) to protokół, który pozwala automatycznie wymieniać informacje o zagrożeniach (Cyber Threat Intelligence, w skrócie CTI) przez bezpieczne połączenie HTTPS. Mówiąc prościej: TAXII to wspólny język, którym narzędzia bezpieczeństwa różnych organizacji pobierają od siebie i przekazują sobie dane o atakach — bez ręcznego przesyłania ich mailem czy w plikach. TAXII udostępnia API (interfejs, przez który programy się ze sobą łączą) w stylu REST oraz określa, jak mają działać klienci i serwery. To otwarty standard rozwijany przez komitet techniczny OASIS Cyber Threat Intelligence (CTI TC); aktualna wersja to TAXII 2.1.

Czym TAXII różni się od STIX?

TAXII i STIX (Structured Threat Information Expression) to dwa standardy, które chodzą w parze, ale robią co innego. STIX odpowiada na pytanie co przesyłamy — to format danych. Opisuje samą treść: obiekty takie jak indicator (wskaźnik), malware czy threat-actor (sprawca ataku) i powiązania między nimi, zapisane w JSON. TAXII odpowiada na pytanie jak te dane dostarczyć — to protokół, który je przenosi. W TAXII 2.1 obsługa treści STIX 2.1 jest obowiązkowa, ale oba standardy są niezależne: STIX można wysłać też inną drogą, a TAXII może przenosić również dane spoza STIX.

Jak działa TAXII?

Wymiana zachodzi między klientem TAXII a serwerem TAXII przez HTTPS. Najważniejsze elementy modelu to:

• API Root — logiczna grupa kolekcji i kanałów, dostępna pod własnym adresem URL. Jeden serwer może udostępniać kilka API Root jako osobne, niezależne interfejsy.
• Collections (kolekcje) — model „pobierz na żądanie” (pull). Producent udostępnia zbiór danych o zagrożeniach, a odbiorcy sami po nie sięgają przez zapytania REST.
• Channels (kanały) — model „rozsyłaj do subskrybentów” (push), w którym producent wysyła dane do wielu odbiorców naraz. W TAXII 2.1 nazwy dla kanałów są zarezerwowane, ale same kanały nie zostały jeszcze opisane — mają powstać w kolejnej wersji.
• Discovery — wykrywanie serwerów: przez rekordy SRV w DNS oraz przez dedykowany adres (w TAXII 2.1 ścieżka /taxii2/).

Jakie modele dystrybucji wspiera TAXII?

Protokół nie narzuca jednej topologii i obsługuje typowe sposoby współdzielenia danych o zagrożeniach:

• Hub-and-spoke — centralny węzeł (hub) zbiera dane i rozsyła je do wielu uczestników, np. w ramach branżowego centrum wymiany informacji (ISAC) czy zespołu CERT.
• Source-subscriber — jedno źródło publikuje dane, a subskrybenci je odbierają.
• Peer-to-peer — bezpośrednia wymiana między równorzędnymi partnerami.

Dlaczego TAXII ma znaczenie dla bezpieczeństwa?

Dla zespołu SOC (Security Operations Center), systemów NDR i monitoringu sieci TAXII jest po prostu sposobem na dowożenie wskaźników kompromitacji (IOC) i kontekstu o zagrożeniach do narzędzi obronnych. Kanały TAXII zwykle zasilają platformy SIEM, SOAR i platformy threat intelligence, które na tej podstawie łączą zdarzenia w całość, wzbogacają alerty i automatycznie aktualizują reguły wykrywania oraz listy blokowanych adresów. Dzięki wspólnemu standardowi narzędzia mogą same zaciągać świeże wskaźniki (adresy IP, domeny, skróty plików, sygnatury) bez ręcznego importu. To skraca czas od momentu, gdy ktoś opublikuje wskaźnik, do chwili, gdy zacznie on działać w naszej sieci.

Trzeba jednak pamiętać o jednym: zaufanie do danych jest tylko tak duże, jak zaufanie do ich źródła. Kanał TAXII jest tak wiarygodny, jak jego producent. Dlatego po stronie odbiorcy zostaje uwierzytelnianie (w TAXII 2.1 zalecany jest m.in. HTTP Basic), kontrola dostępu do poszczególnych API Root i kolekcji oraz sprawdzanie jakości wskaźników — bo i one bywają błędne (fałszywe trafienia) albo nieaktualne.

Dowiedz się więcej

• Compliance i regulacje z Sycope — TAXII ułatwia wymianę danych o zagrożeniach, wspierając zgodność z wymaganiami bezpieczeństwa.
• IoA (Indicator of Attack) — TAXII służy do dystrybucji wskaźników ataku, które mogą być używane jako IoA.
• NAC — TAXII dostarcza dane o zagrożeniach, które mogą wspierać decyzje w NAC.
• Internet Peering — TAXII przekazuje dane o zagrożeniach, które mogą chronić sieci wymieniane przez peering.
• MITTRE ATT&CK — TAXII jest często używany do wymiany danych mapowanych do frameworka MITRE ATT&CK.
• Threat Hunting – jak polować na zagrożenia bezpieczeństwa? — TAXII dostarcza wskaźniki, które wspierają threat hunting.
• Digital Experience Monitoring — TAXII nie dotyczy DEM, ale może wspierać ochronę infrastruktury, która go obsługuje.
• Jak w Sycope wykrywać artefakty sieciowe związane z APT28? — TAXII może służyć do pobierania wskaźników związanych z grupami APT, np. APT28.