{"id":4835,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4835"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"stix","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/stix","title":{"rendered":"STIX"},"content":{"rendered":"<p><strong>STIX<\/strong> (<em>Structured Threat Information eXpression<\/em>, czyli \u201eustrukturyzowany zapis informacji o zagro\u017ceniach\u201d) to otwarty standard opisu i wymiany informacji o cyberzagro\u017ceniach (CTI, <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cyber-threat-intelligence\">cyber threat intelligence<\/a><\/em> \u2014 wywiad o zagro\u017ceniach). M\u00f3wi\u0105c pro\u015bciej: to wsp\u00f3lny j\u0119zyk i format, w kt\u00f3rym r\u00f3\u017cne systemy bezpiecze\u0144stwa mog\u0105 zapisa\u0107 i przekaza\u0107 sobie wiedz\u0119 o atakuj\u0105cych, kampaniach, z\u0142o\u015bliwym oprogramowaniu, podatno\u015bciach i wska\u017anikach ataku. Dzi\u0119ki temu te same dane rozumie zar\u00f3wno cz\u0142owiek, jak i maszyna. W aktualnej wersji <code>STIX 2.1<\/code> dane zapisuje si\u0119 w formacie <code>JSON<\/code>.<\/p>\n<p>STIX zacz\u0105\u0142 si\u0119 od inicjatywy zespo\u0142u US-CERT i by\u0142 rozwijany przez organizacj\u0119 MITRE. Od wersji 2.0 standard utrzymuje komitet techniczny OASIS Cyber Threat Intelligence (CTI TC). STIX 2.1 oraz powi\u0105zany z nim protok\u00f3\u0142 przesy\u0142ania <code>TAXII 2.1<\/code> zatwierdzono jako standardy OASIS 10 czerwca 2021 r.<\/p>\n<h2>Czym jest STIX?<\/h2>\n<p>STIX nie jest produktem ani us\u0142ug\u0105. To specyfikacja, kt\u00f3ra opisuje, <em>jak<\/em> przedstawia\u0107 dane o zagro\u017ceniach. Chodzi o to, by usun\u0105\u0107 niejednoznaczno\u015b\u0107. Zamiast lu\u017anych raport\u00f3w PDF i przypadkowych list adres\u00f3w, STIX narzuca wsp\u00f3lne s\u0142ownictwo i struktur\u0119. Pojedynczy wska\u017anik (na przyk\u0142ad adres IP serwera steruj\u0105cego atakiem), kampania, w kt\u00f3rej si\u0119 pojawi\u0142, i grupa atakuj\u0105ca za nim stoj\u0105ca \u2014 wszystko to mo\u017cna po\u0142\u0105czy\u0107 w jeden, jednoznaczny graf.<\/p>\n<p>Starsza generacja, <code>STIX 1.x<\/code>, u\u017cywa\u0142a formatu XML i osobnej specyfikacji obserwabli o nazwie <code>CybOX<\/code>. Wersja 2.x porzuci\u0142a XML na rzecz JSON, wch\u0142on\u0119\u0142a CybOX jako obiekty obserwowalne (SCO) i mocno upro\u015bci\u0142a model. Obie wersje nie s\u0105 ze sob\u0105 zgodne.<\/p>\n<h2>Z jakich obiekt\u00f3w sk\u0142ada si\u0119 STIX 2.1?<\/h2>\n<p>Model STIX 2.1 opiera si\u0119 na typowanych obiektach, z kt\u00f3rych ka\u017cdy ma globalnie unikalny identyfikator (format <code>typ--UUID<\/code>). Wyr\u00f3\u017cnia si\u0119 cztery g\u0142\u00f3wne kategorie:<\/p>\n<ul>\n<li><strong>SDO \u2014 STIX Domain Objects (18 typ\u00f3w):<\/strong> obiekty domenowe, czyli poj\u0119cia wywiadu o zagro\u017ceniach. Nale\u017c\u0105 do nich m.in. <code>attack-pattern<\/code>, <code>campaign<\/code>, <code>course-of-action<\/code>, <code>grouping<\/code>, <code>identity<\/code>, <code>indicator<\/code>, <code>infrastructure<\/code>, <code>intrusion-set<\/code>, <code>location<\/code>, <code>malware<\/code>, <code>malware-analysis<\/code>, <code>note<\/code>, <code>observed-data<\/code>, <code>opinion<\/code>, <code>report<\/code>, <code>threat-actor<\/code>, <code>tool<\/code> oraz <code>vulnerability<\/code>.<\/li>\n<li><strong>SCO \u2014 STIX Cyber-observable Objects:<\/strong> obiekty opisuj\u0105ce fakty zaobserwowane w sieci lub na komputerze, np. <code>ipv4-addr<\/code>, <code>domain-name<\/code>, <code>file<\/code> (z haszami), <code>url<\/code>, <code>network-traffic<\/code>, <code>email-message<\/code> czy <code>process<\/code>. To dawne CybOX-y.<\/li>\n<li><strong>SRO \u2014 STIX Relationship Objects:<\/strong> obiekty, kt\u00f3re wi\u0105\u017c\u0105 pozosta\u0142e elementy. <code>relationship<\/code> \u0142\u0105czy dwa obiekty, opisuj\u0105c rodzaj powi\u0105zania (np. <em>indicator<\/em> \u2192 <code>indicates<\/code> \u2192 <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/malware\">malware<\/a><\/em>), a <code>sighting<\/code> zapisuje, \u017ce dany element zosta\u0142 gdzie\u015b zaobserwowany.<\/li>\n<li><strong>SMO \u2014 STIX Meta Objects:<\/strong> obiekty metadanych, m.in. oznaczenia uprawnie\u0144 i sposobu udost\u0119pniania danych (<code>marking-definition<\/code>, np. regu\u0142y TLP), rozszerzenia oraz dane j\u0119zyka.<\/li>\n<\/ul>\n<p>Obiekty pakuje si\u0119 w <code>bundle<\/code> \u2014 pojemnik, kt\u00f3ry grupuje zestaw obiekt\u00f3w do przes\u0142ania. Sam bundle nie nadaje \u017cadnego znaczenia. Powi\u0105zania mi\u0119dzy obiektami wyra\u017caj\u0105 obiekty relacji (SRO) albo osadzone w\u0142a\u015bciwo\u015bci referencyjne (np. <code>created_by_ref<\/code>, <code>object_refs<\/code>).<\/p>\n<h2>Jak dzia\u0142a wzorzec wska\u017anika (indicator pattern)?<\/h2>\n<p>Najwa\u017cniejszym obiektem w praktyce jest <code>indicator<\/code>. Zawiera on <strong>wzorzec wykrywania<\/strong> zapisany w j\u0119zyku STIX Patterning. Wzorzec opisuje, jakie obserwable \u015bwiadcz\u0105 o zagro\u017ceniu, na przyk\u0142ad:<\/p>\n<ul>\n<li><code>[ipv4-addr:value = '198.51.100.7']<\/code> \u2014 ruch do konkretnego adresu IP,<\/li>\n<li><code>[file:hashes.'SHA-256' = '\u2026']<\/code> \u2014 plik o danym haszu,<\/li>\n<li><code>[domain-name:value = 'evil.example'] AND [url:value = 'http:\/\/evil.example\/payload']<\/code> \u2014 kombinacja obserwabli.<\/li>\n<\/ul>\n<p>Takie wzorce mo\u017cna t\u0142umaczy\u0107 na regu\u0142y konkretnych narz\u0119dzi wykrywaj\u0105cych (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a>, IDS \u2014 np. Sigma, Suricata, zapytania KQL\/SPL). To w\u0142a\u015bnie sprawia, \u017ce STIX nie jest tylko formatem dokumentacji, ale realnie zasila wykrywanie.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 STIX od TAXII?<\/h2>\n<p>STIX i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/taxii\">TAXII<\/a> to dwa osobne standardy OASIS, kt\u00f3re si\u0119 uzupe\u0142niaj\u0105, i trzeba je wyra\u017anie rozdziela\u0107:<\/p>\n<ul>\n<li><strong>STIX = format (co):<\/strong> j\u0119zyk opisuj\u0105cy <em>tre\u015b\u0107<\/em> wywiadu o zagro\u017ceniach, czyli struktur\u0119 i znaczenie danych.<\/li>\n<li><strong>TAXII = przesy\u0142anie (jak):<\/strong> protok\u00f3\u0142 (oparty na <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a>\/REST), kt\u00f3ry definiuje <em>spos\u00f3b<\/em> wymiany dokument\u00f3w STIX mi\u0119dzy systemami.<\/li>\n<\/ul>\n<p>TAXII porz\u0105dkuje wymian\u0119 wok\u00f3\u0142 takich poj\u0119\u0107 jak <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> Root<\/em>, <em>Collection<\/em> (zbi\u00f3r, z kt\u00f3rego mo\u017cna pobiera\u0107 obiekty i do kt\u00f3rego mo\u017cna je wysy\u0142a\u0107) oraz <em>Channel<\/em>. Obs\u0142uguje r\u00f3\u017cne modele dystrybucji: hub-and-spoke (centralne repozytorium), \u017ar\u00f3d\u0142o\/subskrybent oraz peer-to-peer. Co wa\u017cne: STIX mo\u017cna przesy\u0142a\u0107 tak\u017ce bez TAXII (np. zwyk\u0142ym plikiem albo innym API), a TAXII teoretycznie m\u00f3g\u0142by przenosi\u0107 inne tre\u015bci \u2014 cho\u0107 w praktyce oba standardy projektowano do wsp\u00f3\u0142pracy.<\/p>\n<h2>Dlaczego STIX ma znaczenie dla bezpiecze\u0144stwa i SOC?<\/h2>\n<p>Dla zespo\u0142u <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> (centrum operacji bezpiecze\u0144stwa), platformy threat intelligence (TIP) i monitoringu sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nsm\">NSM<\/a>) STIX rozwi\u0105zuje problem skali i zgodno\u015bci mi\u0119dzy systemami:<\/p>\n<ul>\n<li><strong>Automatyczne zasilanie wykrywania:<\/strong> wska\u017aniki w formacie STIX mo\u017cna automatycznie pobiera\u0107 z feed\u00f3w (ISAC, CERT, dostawcy komercyjni) przez TAXII i wstrzykiwa\u0107 do SIEM\/EDR\/IDS bez r\u0119cznego przepisywania.<\/li>\n<li><strong>Kontekst, nie go\u0142e wska\u017aniki:<\/strong> zamiast samej listy adres\u00f3w IP czy haszy STIX przenosi powi\u0105zania \u2014 kt\u00f3ry wska\u017anik nale\u017cy do kt\u00f3rej kampanii, grupy i rodziny malware&#8217;u. To ogranicza fa\u0142szywe alarmy i przyspiesza wst\u0119pn\u0105 ocen\u0119 zdarze\u0144.<\/li>\n<li><strong>Wzbogacanie i korelacja:<\/strong> obiekty <code>sighting<\/code> pozwalaj\u0105 zg\u0142osi\u0107, \u017ce dany wska\u017anik faktycznie zaobserwowano u siebie. Powstaje p\u0119tla zwrotna mi\u0119dzy tym, co widzi sie\u0107, a wywiadem.<\/li>\n<li><strong>Mapowanie na techniki ataku:<\/strong> obiekty <code>attack-pattern<\/code> mog\u0105 wskazywa\u0107 techniki z MITRE ATT&amp;CK, \u0142\u0105cz\u0105c obserwacje z taktykami i technikami przeciwnika.<\/li>\n<li><strong>Higiena udost\u0119pniania:<\/strong> oznaczenia <code>marking-definition<\/code> (np. TLP) i dane o pochodzeniu pozwalaj\u0105 kontrolowa\u0107, komu wolno przekaza\u0107 dany fragment wywiadu.<\/li>\n<\/ul>\n<p>Trzeba te\u017c zna\u0107 ograniczenia. Model STIX bywa nadmiarowo bogaty, jako\u015b\u0107 danych zale\u017cy od \u017ar\u00f3d\u0142a (\u015bmieciowe wska\u017aniki generuj\u0105 szum), a pe\u0142ne wykorzystanie wymaga platformy, kt\u00f3ra potrafi parsowa\u0107, usuwa\u0107 duplikaty i wygasza\u0107 obiekty po czasie (data marking, <code>valid_until<\/code>).<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/analiza-zdarzen-bezpieczenstwa-w-sycope-nsm\">Analiza zdarze\u0144 bezpiecze\u0144stwa w Sycope NSM<\/a> \u2014 STIX pomaga standaryzowa\u0107 dane o zdarzeniach bezpiecze\u0144stwa u\u017cywane w analizie w Sycope NSM.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 STIX mo\u017ce opisywa\u0107 IoA jako wska\u017aniki technik i dzia\u0142a\u0144 atakuj\u0105cego.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/monitorowanie-doswiadczenia-cyfrowego\">Digital Experience Monitoring<\/a> \u2014 STIX nie dotyczy DEM bezpo\u015brednio, ale wspiera korelacj\u0119 incydent\u00f3w z danymi o zagro\u017ceniach.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/visibility\">Visibility<\/a> \u2014 STIX u\u0142atwia wymian\u0119 ustandaryzowanych informacji, kt\u00f3re poprawiaj\u0105 widoczno\u015b\u0107 zagro\u017ce\u0144.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/mittre-attck\">MITTRE ATT&amp;CK<\/a> \u2014 STIX cz\u0119sto przenosi obserwacje mapowane do taktyk i technik MITRE ATT&amp;CK.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/supply-chain-attack\">Supply Chain Attack<\/a> \u2014 STIX mo\u017ce opisywa\u0107 wska\u017aniki i relacje zwi\u0105zane z atakiem na \u0142a\u0144cuch dostaw.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/apt-advanced-persistent-threat\">APT (Advanced Persistent Threat)<\/a> \u2014 STIX s\u0142u\u017cy do wymiany informacji o kampaniach APT, ich wska\u017anikach i infrastrukturze.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioc-indicator-of-compromise\">IoC (Indicator of Compromise)<\/a> \u2014 STIX jest formatem do opisu i wymiany IoC mi\u0119dzy systemami bezpiecze\u0144stwa.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4835","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"STIX","ikona":"","krotki_opis":"Otwarty standard OASIS do opisu cyberzagro\u017ce\u0144 w formacie JSON: typowane obiekty (SDO\/SCO\/SRO) i relacje mi\u0119dzy nimi, s\u0142u\u017c\u0105ce do wymiany informacji o zagro\u017ceniach."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4835","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4835"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}