{"id":4837,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4837"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"taxii","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/taxii","title":{"rendered":"TAXII"},"content":{"rendered":"<p><strong>TAXII<\/strong> (Trusted Automated eXchange of Indicator Information, czyli zaufana automatyczna wymiana informacji o wska\u017anikach) to protok\u00f3\u0142, kt\u00f3ry pozwala automatycznie wymienia\u0107 informacje o zagro\u017ceniach (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cyber-threat-intelligence\">Cyber Threat Intelligence<\/a>, w skr\u00f3cie CTI) przez bezpieczne po\u0142\u0105czenie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a>. M\u00f3wi\u0105c pro\u015bciej: TAXII to wsp\u00f3lny j\u0119zyk, kt\u00f3rym narz\u0119dzia bezpiecze\u0144stwa r\u00f3\u017cnych organizacji pobieraj\u0105 od siebie i przekazuj\u0105 sobie dane o atakach \u2014 bez r\u0119cznego przesy\u0142ania ich mailem czy w plikach. TAXII udost\u0119pnia <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a><\/strong> (interfejs, przez kt\u00f3ry programy si\u0119 ze sob\u0105 \u0142\u0105cz\u0105) w stylu REST oraz okre\u015bla, jak maj\u0105 dzia\u0142a\u0107 klienci i serwery. To otwarty standard rozwijany przez komitet techniczny <strong>OASIS Cyber Threat Intelligence (CTI TC)<\/strong>; aktualna wersja to <strong>TAXII 2.1<\/strong>.<\/p>\n<h2>Czym TAXII r\u00f3\u017cni si\u0119 od STIX?<\/h2>\n<p>TAXII i <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/stix\">STIX<\/a><\/strong> (Structured Threat Information Expression) to dwa standardy, kt\u00f3re chodz\u0105 w parze, ale robi\u0105 co innego. STIX odpowiada na pytanie <em>co<\/em> przesy\u0142amy \u2014 to format danych. Opisuje sam\u0105 tre\u015b\u0107: obiekty takie jak <code>indicator<\/code> (wska\u017anik), <code>malware<\/code> czy <code>threat-actor<\/code> (sprawca ataku) i powi\u0105zania mi\u0119dzy nimi, zapisane w JSON. TAXII odpowiada na pytanie <em>jak<\/em> te dane dostarczy\u0107 \u2014 to protok\u00f3\u0142, kt\u00f3ry je przenosi. W TAXII 2.1 obs\u0142uga tre\u015bci STIX 2.1 jest obowi\u0105zkowa, ale oba standardy s\u0105 niezale\u017cne: STIX mo\u017cna wys\u0142a\u0107 te\u017c inn\u0105 drog\u0105, a TAXII mo\u017ce przenosi\u0107 r\u00f3wnie\u017c dane spoza STIX.<\/p>\n<h2>Jak dzia\u0142a TAXII?<\/h2>\n<p>Wymiana zachodzi mi\u0119dzy <strong>klientem TAXII<\/strong> a <strong>serwerem TAXII<\/strong> przez HTTPS. Najwa\u017cniejsze elementy modelu to:<\/p>\n<ul>\n<li><strong>API Root<\/strong> \u2014 logiczna grupa kolekcji i kana\u0142\u00f3w, dost\u0119pna pod w\u0142asnym adresem URL. Jeden serwer mo\u017ce udost\u0119pnia\u0107 kilka API Root jako osobne, niezale\u017cne interfejsy.<\/li>\n<li><strong>Collections (kolekcje)<\/strong> \u2014 model \u201epobierz na \u017c\u0105danie&#8221; (pull). Producent udost\u0119pnia zbi\u00f3r danych o zagro\u017ceniach, a odbiorcy sami po nie si\u0119gaj\u0105 przez zapytania REST.<\/li>\n<li><strong>Channels (kana\u0142y)<\/strong> \u2014 model \u201erozsy\u0142aj do subskrybent\u00f3w&#8221; (push), w kt\u00f3rym producent wysy\u0142a dane do wielu odbiorc\u00f3w naraz. W TAXII 2.1 nazwy dla kana\u0142\u00f3w s\u0105 zarezerwowane, ale same kana\u0142y nie zosta\u0142y jeszcze opisane \u2014 maj\u0105 powsta\u0107 w kolejnej wersji.<\/li>\n<li><strong>Discovery<\/strong> \u2014 wykrywanie serwer\u00f3w: przez rekordy <code>SRV<\/code> w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a> oraz przez dedykowany adres (w TAXII 2.1 \u015bcie\u017cka <code>\/taxii2\/<\/code>).<\/li>\n<\/ul>\n<h2>Jakie modele dystrybucji wspiera TAXII?<\/h2>\n<p>Protok\u00f3\u0142 nie narzuca jednej topologii i obs\u0142uguje typowe sposoby wsp\u00f3\u0142dzielenia danych o zagro\u017ceniach:<\/p>\n<ul>\n<li><strong>Hub-and-spoke<\/strong> \u2014 centralny w\u0119ze\u0142 (hub) zbiera dane i rozsy\u0142a je do wielu uczestnik\u00f3w, np. w ramach bran\u017cowego centrum wymiany informacji (ISAC) czy zespo\u0142u CERT.<\/li>\n<li><strong>Source-subscriber<\/strong> \u2014 jedno \u017ar\u00f3d\u0142o publikuje dane, a subskrybenci je odbieraj\u0105.<\/li>\n<li><strong>Peer-to-peer<\/strong> \u2014 bezpo\u015brednia wymiana mi\u0119dzy r\u00f3wnorz\u0119dnymi partnerami.<\/li>\n<\/ul>\n<h2>Dlaczego TAXII ma znaczenie dla bezpiecze\u0144stwa?<\/h2>\n<p>Dla zespo\u0142u SOC (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">Security Operations Center<\/a>), system\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> i monitoringu sieci TAXII jest po prostu sposobem na dowo\u017cenie wska\u017anik\u00f3w kompromitacji (IOC) i kontekstu o zagro\u017ceniach do narz\u0119dzi obronnych. Kana\u0142y TAXII zwykle zasilaj\u0105 platformy <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a><\/strong>, <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soar\">SOAR<\/a><\/strong> i platformy threat intelligence, kt\u00f3re na tej podstawie \u0142\u0105cz\u0105 zdarzenia w ca\u0142o\u015b\u0107, wzbogacaj\u0105 alerty i automatycznie aktualizuj\u0105 regu\u0142y wykrywania oraz listy blokowanych adres\u00f3w. Dzi\u0119ki wsp\u00f3lnemu standardowi narz\u0119dzia mog\u0105 same zaci\u0105ga\u0107 \u015bwie\u017ce wska\u017aniki (adresy IP, domeny, skr\u00f3ty plik\u00f3w, sygnatury) bez r\u0119cznego importu. To skraca czas od momentu, gdy kto\u015b opublikuje wska\u017anik, do chwili, gdy zacznie on dzia\u0142a\u0107 w naszej sieci.<\/p>\n<p>Trzeba jednak pami\u0119ta\u0107 o jednym: zaufanie do danych jest tylko tak du\u017ce, jak zaufanie do ich \u017ar\u00f3d\u0142a. Kana\u0142 TAXII jest tak wiarygodny, jak jego producent. Dlatego po stronie odbiorcy zostaje uwierzytelnianie (w TAXII 2.1 zalecany jest m.in. HTTP Basic), kontrola dost\u0119pu do poszczeg\u00f3lnych API Root i kolekcji oraz sprawdzanie jako\u015bci wska\u017anik\u00f3w \u2014 bo i one bywaj\u0105 b\u0142\u0119dne (fa\u0142szywe trafienia) albo nieaktualne.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/compliance-and-regulation-with-sycope\">Compliance i regulacje z Sycope<\/a> \u2014 TAXII u\u0142atwia wymian\u0119 danych o zagro\u017ceniach, wspieraj\u0105c zgodno\u015b\u0107 z wymaganiami bezpiecze\u0144stwa.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 TAXII s\u0142u\u017cy do dystrybucji wska\u017anik\u00f3w ataku, kt\u00f3re mog\u0105 by\u0107 u\u017cywane jako IoA.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nac\">NAC<\/a> \u2014 TAXII dostarcza dane o zagro\u017ceniach, kt\u00f3re mog\u0105 wspiera\u0107 decyzje w NAC.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/internet-peering\">Internet Peering<\/a> \u2014 TAXII przekazuje dane o zagro\u017ceniach, kt\u00f3re mog\u0105 chroni\u0107 sieci wymieniane przez peering.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/mittre-attck\">MITTRE ATT&amp;CK<\/a> \u2014 TAXII jest cz\u0119sto u\u017cywany do wymiany danych mapowanych do frameworka MITRE ATT&amp;CK.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/threat-hunting-jak-polowac-na-zagrozenia-bezpieczenstwa\">Threat Hunting \u2013 jak polowa\u0107 na zagro\u017cenia bezpiecze\u0144stwa?<\/a> \u2014 TAXII dostarcza wska\u017aniki, kt\u00f3re wspieraj\u0105 threat hunting.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/monitorowanie-doswiadczenia-cyfrowego\">Digital Experience Monitoring<\/a> \u2014 TAXII nie dotyczy DEM, ale mo\u017ce wspiera\u0107 ochron\u0119 infrastruktury, kt\u00f3ra go obs\u0142uguje.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/wykrywanie-artefaktow-sieciowych-zwiazanych-z-apt28\">Jak w Sycope wykrywa\u0107 artefakty sieciowe zwi\u0105zane z APT28?<\/a> \u2014 TAXII mo\u017ce s\u0142u\u017cy\u0107 do pobierania wska\u017anik\u00f3w zwi\u0105zanych z grupami <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/apt-advanced-persistent-threat\">APT<\/a>, np. APT28.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4837","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"TAXII","ikona":"","krotki_opis":"Otwarty standard OASIS do automatycznej wymiany informacji o zagro\u017ceniach (CTI) przez REST\/HTTPS; dostarcza dane STIX modelem kolekcji (pull) i kana\u0142\u00f3w (push)."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4837","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4837"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}