Implementando Servidor TAXII com OpenTAXII

Visão Geral

TAXII (Trusted Automated eXchange of Intelligence Information) é um protocolo padrão OASIS para troca de inteligência de ameaças cibernéticas via HTTPS. OpenTAXII é uma implementação de servidor TAXII de código aberto da EclecticIQ que suporta TAXII 1.x, enquanto o OASIS cti-taxii-server fornece uma implementação de referência TAXII 2.1. Esta habilidade abrange a implantação de um servidor TAXII, a configuração de coleções para feeds de inteligência de ameaças, a publicação de pacotes STIX 2.1 e a integração com plataformas SIEM/SOAR para ingestão automatizada de indicadores.

Quando Usar

• Ao implantar ou configurar a implementação de servidor TAXII com capacidades OpenTAXII em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9+ com bibliotecas medallion, stix2, taxii2-client, opentaxii, cabby
• Docker e Docker Compose para implantação em contêineres
• Compreensão dos objetos STIX 2.1 (Indicador, Malware, Padrão de Ataque, Relacionamento)
• Familiaridade com APIs REST e configuração HTTPS
• Certificados TLS para implantação em produção

Conceitos Chave

Arquitetura TAXII 2.1

O TAXII 2.1 define três serviços: Descoberta (encontrar raízes de API disponíveis), Raiz de API (ponto de entrada para coleções) e Coleções (repositórios de objetos CTI). As coleções suportam dois modelos de acesso: o endpoint de Coleção permite que os consumidores consultem objetos e o endpoint de Status rastreia o resultado das operações de adição. O TAXII usa negociação de conteúdo HTTP com application/taxii+json;version=2.1.

Modelos de Compartilhamento

O TAXII suporta modelos hub-and-spoke (servidor central distribui para consumidores), peer-to-peer (compartilhamento bidirecional entre parceiros) e source-subscriber (produtor publica, consumidores assinam). Cada coleção pode ter controles de acesso somente leitura, somente gravação ou leitura/gravação.

Conteúdo STIX 2.1

O TAXII transporta pacotes STIX 2.1 contendo objetos de Informações Estruturadas de Ameaças: Indicadores (padrões de detecção), Dados Observados, Malware, Padrões de Ataque, Atores de Ameaça, Conjuntos de Intrusão, Campanhas, Relacionamentos e Avistamentos. Cada objeto tem um ID STIX exclusivo, carimbos de data/hora de criação/modificação e definições opcionais de marcação TLP.

Fluxo de Trabalho

Etapa 1: Implantar Servidor TAXII 2.1 com Medallion

# Instalar medallion (implementação de referência OASIS)
# pip install medallion

# medallion_config.json
import json

config = {
    "backend": {
        "module_class": "MemoryBackend",
        "filename": "taxii_data.json"
    },
    "users": {
        "admin": "admin_password_change_me",
        "analyst": "analyst_password_change_me",
        "readonly": "readonly_password_change_me"
    },
    "taxii": {
        "max_content_length": 10485760
    }
}

# Criar armazenamento de dados inicial
taxii_data = {
    "discovery": {
        "title": "Servidor TAXII de Inteligência de Ameaças",
        "description": "Servidor TAXII 2.1 para compartilhamento de indicadores CTI",
        "contact": "soc@organization.com",
        "default": "https://taxii.organization.com/api/",
        "api_roots": ["https://taxii.organization.com/api/"]
    },
    "api_roots": {
        "api": {
            "title": "Raiz da API de Inteligência de Ameaças",
            "description": "Raiz principal da API para compartilhamento de inteligência de ameaças",
            "versions": ["application/taxii+json;version=2.1"],
            "max_content_length": 10485760,
            "collections": {
                "malware-iocs": {
                    "id": "91a7b528-80eb-42ed-a74d-c6fbd5a26116",
                    "title": "IOCs de Malware",
                    "description": "Indicadores de comprometimento de análise de malware",
                    "can_read": True,
                    "can_write": True,
                    "media_types": ["application/stix+json;version=2.1"]
                },
                "apt-intelligence": {
                    "id": "52892447-4d7e-4f70-b94a-5460e242dd23",
                    "title": "Inteligência APT",
                    "description": "Inteligência de grupo de ameaças persistentes avançadas",
                    "can_read": True,
                    "can_write": True,
                    "media_types": ["application/stix+json;version=2.1"]
                },
                "phishing-indicators": {
                    "id": "64993447-4d7e-4f70-b94a-5460e242ee34",