【スティックス】

STIX（脅威情報構造化記述）とは？

最終更新: 2026年10月2日

💡 脅威の情報と、そのつながりを共通の形で書く

サイバー脅威の情報を共通の構造で表す標準仕様。STIX 2.1のJSON、情報同士の関係、TAXIIとの役割の違いを解説します。

📌 このページのポイント

検出条件がマルウェアの存在を示す、意味上の関係の例です。矢印は通信や攻撃経路ではありません。提供元・観測時期・適用範囲・ツール対応も確認します。

ひよこ

STIXは、攻撃を止めるソフト？

ペンギン先生

ソフトの名前ではなく、サイバー脅威の情報を共通の構造で書く仕様だよ。STIX 2.1ではJSONを使う。異なる組織やツールが情報を共有し、処理する助けになるんだ。

ひよこ

どんな情報を書くの？

ペンギン先生

マルウェアの特徴、攻撃者や攻撃の手法、検出する条件などだよ。種類ごとにオブジェクトとして表現するので、ただ文章を送るより、項目の意味を共有しやすいんだ。

ひよこ

情報同士は、どうつながる？

ペンギン先生

たとえば「この検出条件は、このマルウェアの存在を示す」という関係を記述できる。Relationshipというオブジェクトで、元と先のID、関係の種類を表すんだ。図の矢印は、通信の向きではなく情報の関係だよ。

ひよこ

TAXIIも似た言葉だけど、同じもの？

ペンギン先生

役割が違うよ。STIXは情報の表現形式、TAXIIは脅威情報をやり取りするための通信の仕組み。共有する内容の書き方と、届ける手順を分けて考えよう。

ひよこ

受け取ったら、そのまま全部信用してよい？

ペンギン先生

共通形式だから正しいとは限らないよ。情報の提供元、観測した時期、検出条件の適用範囲やツールの対応を確認する。自動で処理できる部分があっても、誤検知や共有の権限を考える必要があるんだ。

もっと詳しく知りたい人へ

観測データは、すべて攻撃の証拠？

STIXのObserved Dataは、ファイルや通信などを観測した情報です。それ自体は、悪意があるという判断を意味しません。検出条件を表すIndicatorなどと区別して扱います。

対応するバージョンやオブジェクト、拡張、取り込み方法を確認します。JSONとして読めることと、その意味を使って検出や分析を行えることも別です。

まとめ：ざっくりこれだけ覚えればOK！

「STIX」って出てきたら「脅威の情報と関係を共通の構造で書く仕様」と思えばだいたいOK！

📖 おまけ：英語の意味

「Structured Threat Information eXpression」＝構造化した脅威情報の表現

💬 脅威情報を扱うための標準仕様の名称です。ここではSTIX 2.1を中心に説明します。