【公益译文】STIX Profile概览白皮书

在之前的文章中,小编介绍到 STIX是一种描述网络威胁信息的结构化语言 ,也介绍了 网络威胁情报信息怎么统一格式 用STIX结构化威胁信息表达 ,其中用9个维度来定义网络威胁信息,这包括可观察物、指标、安全事件、TTP(策略、技术与过程)、行动、威胁源起方、利用目标、行动方案(COA)、数据标记,那么具体这些维度在数据存储上都包括哪些字段,又是如何使用的呢?这篇文档主要是讨论这个方面的问题。 STIX Profile是什么

STIX 针对的是各种网络威胁情报用例,因而数据模型覆盖范围相应宽泛。STIX 本身具有灵活性,可支持各种用例,这同时意味着许多的构造、字段和值对于单个用例来说也许是多余或无关的。例如,使用STIX 共享基本指标信息的组织可能会选择仅使用指标、可观察物及TTP 构造。STIX 的其余内容(如威胁源起方(Threat Actor))可能对其他用例有用,但是对于仅实施指标共享的组织来说就无所谓了。STIX Profile 是对这一范围裁剪概念的实践,指某群体、组织或实现(Implementation)采用的特定STIX 子集。

STIX Profile 用以描述:

  • 哪些字段和值必选;
  • 哪些字段和值建议使用;
  • 哪些字段和值可选;
  • 哪些字段和值禁用。

应注意,Profile 仅是针对特定情境下的STIX 使用范围限制。因此,STIX 中没有针对具体Profile 的对象或元素,Profile 只是STIX 的一个子集。本质上,STIX Profile 规定的是应包含STIX 大框架中哪些元素。除了指定应包含的顶层STIX 对象,Profile 还会明确应包含哪些网络可察表达(CybOX™)数据模型中所规定的网络可察对象。

Profile 可用于精简繁杂的构造(STIX 部件、CybOX 对象、词汇、关系、扩展等),还可在不同深度,精确描述允许或禁用哪些字段。

下图是一个STIX Profile 简易视图,内含三个顶层STIX 对象(指标、可观察物、TTP),并规定了应覆盖80 多个CybOX 对象类别中的哪些类别。

为什么使用STIX Profile

Profile 有两个主要用途:(1)为使用STIX 进行信息交流定义共享情境;(2)为工具/ 业务实施能力界定范围。若信息交流各方就Profile 达成一致或某实现规定了适用Profile,则Profile 应将STIX 范围缩小至只包含必要元素。

对共享模型用户及定义者来说,Profile 有助于就共享内容达成一致认识。群体或用户组可使用Profile 禁用某些构造,例如,规定不会共享此类信息。

对开发者来说,Profile 的好处体现在可以缩小工作中须参考的STIX 范围,不把时间浪费在了解无关信息上。基于Profile 开展工作的开发人员无需了解全套STIX 构造以及每个构造中所有的字段,只需关注Profile 中允许的字段,实现用户也很清楚实现处理的是何类信息。

下图中,两个组织使用了相同的Profile,促进了STIX 子集共享。本例中,Profile 规定应包含STIX 指标与TTP,而不包含其他顶层STIX 对象。从这点上说,Profile 可协助组织进行治理,制定共享政策,还可以为实施基于Profile 所定义的STIX 子集开发的解决方案提供指导。

Profile 对威胁信息使用者尤其有用,因为它确定了使用者的数据库及处理模型必须支持的字段及值集。若某些字段或值被禁用,则数据库无需了解如何存储、代码无需了解如何处理这些字段或值。另一方面,若有些字段或值为必选,使用者则基本上一定能找到这些字段或值,并据此采取行动。

STIX Profile呈现方法

目前,Profile 以人类可读的电子表格形式制成并分发。这种方式成本低,工作量小,方便各群体浏览并了解Profile 所允许以及禁用的元素,以便讨论共享计划形成共识。Profile 定稿后,开发者可通过电子表格了解需要、应该或不应该赋值的字段,使用者可通过它来了解需要使用的信息。

现用电子表格形式

电子表格的第一个页签包含Profile 的一些基本信息以及允许及禁用的概要信息。STIX组件、扩展、CybOX 对象、受控词汇会一一列举,并说明允许还是禁用。

其他页签会详细说明每个构造。对于各个构造(类型),相关字段按照必选、建议、可选及禁用分别列举并编码。若这些字段包含更深层次的信息(如具有自己的构成),该类型的每个字段会用相似编码方法;若字段并无更深层次信息(如,只是一个简单的值或可被视为独立单元),则会被简单编码,不做过多讨论。可为每个字段指定值、类型实现及扩展。

机器可处理Profile

理想情况下,Profile 应可以由机器处理,这样STIX 内容可以自动验证或过滤,以确定是否符合Profile 或去除无效内容。通过机器可处理Profile,开发者可确保所生成的内容有效,使用者可验证所收到并处理的内容是否确为之前一致同意的内容。

STIX 团队目前正在调研呈现机器可处理Profile 的可行方法。这需要反复权衡,不管选择哪个方法,都必须符合多数人的需要,以避免大范围出现格式不同且相互抵触的Profile。

支持与开发Profile

开发Profile 的一个常见担忧是,为每个特定用例实例化制定Profile(这其实完全没有必要),这些Profile 用户之间很难形成一致的STIX(因为每个用例遵循的Profile 不同)。这个担忧不无道理,但是可以通过如下方法或多或少地化解:围绕实际操作,为规范及使用合理抽象化的分层Profile 集提供指导,将重点放在限制不必要的特定Profile 上,所谓“不必要”是指有现成的、基本适用的综合Profile。

例如,在制定自己的Profile 之前,特定共享群体应首先确认是否有现成的综合Profile(如“指标共享”Profile)以及是否适用。若需要开发专门的Profile,该Profile 应尽可能从属于综合Profile。这样,遵循综合Profile 的人才可以理解根据该子Profile 产生的内容。

免责声明

本文原文来自于互联网的公共方式,由“安全加”社区出于学习交流的目的进行翻译,而无任何商业利益的考虑和利用,“安全加”社区已经尽可能地对作者和来源进行了通告,但不保证能够穷尽,如您主张相关权利,请及时与“安全加”社区联系。
“安全加”社区不对翻译版本的准确性、可靠性作任何保证,也不为由翻译不准确所导致的直接或间接损失承担责任。在使用翻译版本中所包含的技术信息时,用户同意“安全加”社区对可能出现的翻译不完整、或不准确导致的全部或部分损失不承担任何责任。用户亦保证不用做商业用途,也不以任何方式修改本译文,基于上述问题产生侵权行为的,法律责任由用户自负。

更多内容,请下载附件:【公益译文】STIX Profile概览白皮书20170111

如果您需要了解更多内容,可以
加入QQ群:570982169
直接询问:010-68438880

发表评论