STIX.

Structured Threat Information eXpression (STIX) é uma linguagem aberta, padronizada pelo Comitê Técnico de Cyber Threat Intelligence da OASIS, para representar inteligência de ameaças de forma consistente e legível por máquina. A versão atual, STIX 2.1, tornou-se padrão OASIS em 10 de junho de 2021 e expressa a inteligência em JSON. Define três famílias de objetos: 18 STIX Domain Objects (SDOs) como indicator, malware, threat-actor, campaign, intrusion-set, attack-pattern, tool e vulnerability; STIX Cyber-observable Objects (SCOs) para artefatos brutos como ficheiros, endereços IP e tráfego de rede; e STIX Relationship Objects (SROs) que os ligam num grafo (p. ex. um threat-actor uses um malware que targets uma identity).

Como cada conceito tem um esquema estável e um ID único global, o STIX permite partilhar contexto — táticas, técnicas, fases da kill chain, sightings e confiança — em vez de indicadores isolados, e permite que SIEMs, plataformas de inteligência (TIPs) e ferramentas SOAR ingiram o mesmo feed sem parsers à medida. O STIX é normalmente transportado pelo protocolo companheiro TAXII 2.1 (publicado no mesmo dia), uma API REST com coleções e canais para partilha pull/push.

O STIX sustenta a partilha operacional entre ISACs, CERTs/CSIRTs nacionais e fornecedores comerciais, e combina-se naturalmente com o Traffic Light Protocol para gerir restrições e com o MITRE ATT&CK para referenciar técnicas. O STIX 2.1 substitui o STIX 1.x baseado em XML e o seu antigo modelo de observáveis CybOX.

flowchart LR
  subgraph B["Bundle STIX 2.1 (JSON)"]
    TA["Threat Actor (SDO)"] -->|"uses"| MW["Malware (SDO)"]
    IND["Indicator (SDO)"] -->|"indicates"| MW
    IND -->|"based-on"| OD["Observed Data + SCO"]
  end
  B -->|"partilhado via TAXII 2.1"| C["SIEM / TIP / SOAR"]