はじめに：脅威情報の「断片化」という課題
今日のサイバーセキュリティ現場において、組織は日々膨大な量の脅威情報（Cyber Threat Intelligence: CTI）にさらされています。しかし、その多くはメール、PDFレポート、あるいはチャットツール上の断片的な情報として共有されており、人間が読んで理解することはできても、セキュリティ機器が即座に活用できる形式にはなっていないことがほとんどです。
この「情報の断片化」を解消し、機械可読な形式で脅威情報を共有するための国際標準規格がSTIX（Structured Threat Information Expression）です。本記事では、セキュリティエンジニアやSOCアナリストが、実務でSTIXをどのように理解し、導入すべきかについて深く掘り下げて解説します。
STIXとは何か：概念と目的
STIXは、OASIS（Organization for the Advancement of Structured Information Standards）によって策定された、脅威情報を構造化して記述するための言語です。現在、広く利用されているのはバージョン2.1です。
STIXの最大の目的は、「脅威アクターが誰か」「どのような手法（TTPs）を用いるか」「どのようなインフラ（IPアドレスやドメイン）を悪用するか」といった情報を、相互運用可能なJSON形式で定義することにあります。これにより、例えばSIEM（Security Information and Event Management）やTIP（Threat Intelligence Platform）の間で、ベンダーをまたいだ情報の自動連携が可能になります。
STIXの核心：ドメインオブジェクト（SDO）の理解
STIXを構成する最も重要な要素が、STIX Domain Objects（SDO）です。これらは脅威の構成要素をモデル化したもので、主要なものを以下に挙げます。
1. Indicator（指標）：マルウェアのハッシュ値や不正なIPアドレスなど、攻撃の痕跡。
2. Malware（マルウェア）：脅威の実行主体となる悪意のあるコード。
3. Attack Pattern（攻撃パターン）：攻撃者が用いる手法（MITRE ATT&CKと密接に関連）。
4. Threat Actor（脅威アクター）：攻撃グループや個人。
5. Campaign（キャンペーン）：特定の目的を持った一連の攻撃活動。
6. Course of Action（対策）：脅威に対する推奨される防御策。
これらのSDOは、Relationship（関係性）オブジェクトによって繋がれることで、単なる情報の羅列ではなく、攻撃の相関関係を示す「グラフ」として機能します。例えば、「Threat Actor A」が「Malware B」を使用し、それが「Indicator C」を生成した、という文脈を構造的に表現できるのです。
実務での活用：JSONによる記述例
STIXはJSON形式を採用しています。以下に、特定のIPアドレスを悪意のある通信先として定義する簡単なIndicatorオブジェクトの例を示します。
{
“type”: “indicator”,
“spec_version”: “2.1”,
“id”: “indicator–8e272635-4422-4411-9231-1234567890ab”,
“created_by_ref”: “identity–a7311111-2222-3333-4444-555555555555”,
“created”: “2023-10-27T10:00:00Z”,
“modified”: “2023-10-27T10:00:00Z”,
“name”: “悪意のあるC2サーバー通信”,
“description”: “既知の攻撃グループによるC2通信先IPアドレス”,
“indicator_types”: [“malicious-activity”],
“pattern”: “[ipv4-addr:value = ‘192.0.2.1’]”,
“pattern_type”: “stix”,
“pattern_version”: “2.1”,
“valid_from”: “2023-10-27T10:00:00Z”
}
この構造化されたデータは、APIを介してTIPからファイアウォールやEDRに自動的にプッシュし、即座にブロックルールを適用することが可能です。従来の手作業によるフィルタリング作業を劇的に効率化できます。
STIXとTAXIIの連携：自動化の要
STIXを語る上で欠かせないのが、TAXII（Trusted Automated Exchange of Intelligence Information）です。STIXが「情報の記述形式」であるのに対し、TAXIIは「情報を転送するためのプロトコル（HTTPSベース）」です。
実務においては、TAXIIサーバーを介してSTIX形式の脅威情報を「プッシュ」または「プル」する仕組みを構築します。これにより、インテリジェンスベンダーから提供される最新の脅威フィードを、自社のSOC環境に自動的に取り込み、脅威ハンティングに活用するというワークフローが完成します。
実務者が直面する課題と対策
STIXの導入には、いくつかの壁があります。
第一に「データの品質」です。構造化されているとはいえ、中身が古かったり、誤検知（False Positive）が多い情報であれば、自動ブロックによって業務を停滞させるリスクがあります。信頼できるフィードソースの選定と、自動適用する際のスコアリング（信頼度評価）の仕組みが不可欠です。
第二に「運用の複雑さ」です。STIXを正しく扱うためには、JSONの構造理解だけでなく、MITRE ATT&CKフレームワークとのマッピング能力が求められます。単にIPをブロックするだけでなく、それが「どの攻撃手法に対する対策なのか」を理解することで、防御の優先順位を決定できます。
今後の展望：AIとの融合
今後のセキュリティ運用において、STIXはAIや機械学習モデルの入力データとしてさらに重要性を増します。大規模言語モデル（LLM）を用いた脅威分析において、STIX形式で構造化されたデータは、非構造化テキストよりも圧倒的に高い精度でモデルにコンテキストを理解させることができます。
例えば、過去数年分のSTIXデータを学習させることで、特定の脅威アクターの次の行動を予測したり、現在の自社環境における脆弱性との関連性を自動的に特定したりする「インテリジェントな防御」が現実味を帯びています。
まとめ
STIXは単なるデータ形式の規格ではありません。それは、サイバーセキュリティという複雑かつ動的な領域において、人間と機械が共通言語を持ち、脅威に対して「組織横断的」かつ「自動的」に立ち向かうための基盤です。
実務に従事する専門家としては、まずは自社で利用しているセキュリティツールがSTIX/TAXIIに対応しているかを確認し、インテリジェンスのライフサイクルを自動化する小さな一歩から始めることを推奨します。脅威情報の共有を「読む」作業から「処理する」作業へと変革することが、現代のセキュリティ防御における最も強力な武器となるはずです。
付録：STIX学習のためのリソース
1. OASIS STIX 2.1 Specification：公式ドキュメント（必読）
2. MITRE ATT&CK：STIXと密接に連携する攻撃手法のナレッジベース
3. Python ライブラリ ‘stix2’：PythonでSTIXオブジェクトを生成・操作するための公式ライブラリ
これらを活用し、ぜひ現場の自動化・高度化に挑戦してください。セキュリティの未来は、データの標準化の中にあります。
コメント