Implementando Compartilhamento de Informações de Segurança com STIX 2.1

Crie e compartilhe inteligência de ameaças estruturada usando objetos STIX 2.1 com a biblioteca Python stix2 e o protocolo de transporte TAXII 2.1.

Quando Usar

• Construindo uma plataforma de inteligência de ameaças que troca IOCs com organizações parceiras
• Automatizando a ingestão e exportação de indicadores de MISP, OpenCTI ou outras plataformas TIP
• Criando relatórios de inteligência legíveis por máquina para comunidades de compartilhamento ISAC/ISAO
• Publicando dados de ameaças em um servidor TAXII 2.1 para consumo downstream por SIEMs e SOARs
• Convertendo relatórios de ameaças não estruturados em pacotes STIX 2.1 padronizados
• Enriquecendo regras de detecção com contexto, vinculando indicadores a malware, campanhas e atores de ameaças

Não use para compartilhar simples listas de bloqueio de IP ou feeds de IOC baseados em CSV que não exigem contexto de relacionamento; feeds de texto simples com formatos mais simples como CSV ou OpenIOC podem ser mais eficientes nesses casos.

Pré-requisitos

• Python 3.8+ com a biblioteca stix2 (pip install stix2)
• taxii2-client para consumir feeds TAXII (pip install taxii2-client)
• Um endpoint de servidor TAXII 2.1 para publicação (por exemplo, OpenTAXII, Medallion ou serviço MISP TAXII)
• Familiaridade com os tipos de SDO STIX 2.1: Indicator, Malware, Threat Actor, Campaign, Attack Pattern, Identity
• Familiaridade com os tipos de SRO STIX 2.1: Relationship, Sighting
• Opcional: Instância OpenCTI ou MISP para testes de integração ponta a ponta

Fluxo de Trabalho

Etapa 1: Instalar Dependências

pip install stix2 taxii2-client requests

Etapa 2: Criar Objetos de Domínio STIX 2.1 (SDOs)

Crie objetos de inteligência centrais que descrevem ameaças, atores e campanhas:

from stix2 import (
    Indicator, Malware, ThreatActor, Campaign,
    AttackPattern, Identity, Relationship, Bundle,
    ExternalReference
)
from datetime import datetime

# Create a producer identity
producer = Identity(
    name="ACME Threat Intel Team",
    identity_class="organization",
    sectors=["technology"],
    contact_information="threatintel@acme.example.com"
)

# Create a malware object
emotet_malware = Malware(
    name="Emotet",
    description="Banking trojan turned modular botnet loader. "
                "Distributed via malspam with macro-enabled Office documents.",
    malware_types=["trojan", "bot"],
    is_family=True,
    created_by_ref=producer.id
)

# Create an attack pattern referencing MITRE ATT&CK
spearphishing_pattern = AttackPattern(
    name="Spearphishing Attachment",
    description="Adversaries send spearphishing emails with a malicious attachment.",
    external_references=[
        ExternalReference(
            source_name="mitre-attack",
            external_id="T1566.001",
            url="https://attack.mitre.org/techniques/T1566/001/"
        )
    ],
    created_by_ref=producer.id
)

# Create a threat actor
threat_actor = ThreatActor(
    name="Mummy Spider",
    description="Cybercriminal group operating the Emotet botnet infrastructure.",
    threat_actor_types=["crime-syndicate"],
    aliases=["TA542", "Gold Crestwood"],
    primary_motivation="personal-gain",
    created_by_ref=producer.id
)

# Create a campaign
campaign = Campaign(
    name="Emotet Q1 2026 Resurgence",
    description="Renewed Emotet distribution campaign using thread-hijacked "
                "reply-chain emails with OneNote lure attachments.",
    first_seen="2026-01-15T00:00:00Z",
    created_by_ref=producer.id
)

print(f"Created malware SDO: {emotet_malware.id}")
print(f"Created threat actor SDO: {threat_actor.id}")
print(f"Created campaign SDO: {campaign.id}")

Etapa 3: Criar Indicadores STIX com Padrões

Defina padrões de detecção usando a Linguagem de Padrões STIX:

# Indicador de hash de arquivo
hash_indicator = Indicator(
    name="Hash do dropper Emotet",
    description="Hash SHA-256 do dropper de primeiro estágio do Emotet observado na campanha de janeiro de 2026.",
    indicator_types=["malicious-activity"],
    pattern_type="stix",
    pattern="[file:hashes.'SHA-256' = 'a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2']",
    valid_from="2026-01-15T00:00:00Z",
    created_by_ref=producer.id
)

# Indicador de rede para domínio C2
c2_indicator = Indicator(
    name="Domínio C2 do Emotet",
    description="Domínio de comando e controle observado na infraestrutura de botnet de nível 1 do Emotet.",
    indicator_types=["malicious-activity"],
    pattern_type="stix",
    pattern="[domain-name:value = 'malicious-c2.example.com']",

…