Partager du renseignement avec STIX et TAXII

Le renseignement sur la menace n'est utile que s'il atteint les outils capables d'agir dessus. Recopier à la main des IOC d'un PDF vers un pare-feu est lent, source d'erreurs, et fait perdre tout le contexte : qui est derrière l'activité, quel malware, quel niveau de confiance accorder à la source, qui a le droit de le voir. Deux standards ouverts de l'OASIS règlent ce problème :

Pour faire simple : STIX est la lettre (avec une structure standard que tout destinataire sait lire), TAXII est la Poste. Tous deux sont devenus des standards OASIS en version 2.1 en 2021, et ce sont eux qui se cachent derrière la plupart des « flux TAXII » proposés par les ISAC, les CERT, les éditeurs et des plateformes comme MISP ou OpenCTI.

En STIX, tout est un objet JSON doté d'un type et d'un id unique de la forme type--UUID, par exemple malware--481ba5c9-2b13-47e5-87d7-c2464ade08ec. Les objets se répartissent en trois grandes familles.

Le pattern d'un indicateur s'écrit dans le STIX Patterning language ("pattern_type": "stix"). Il décrit quels observables doivent être vus pour que l'indicateur corresponde. La brique de base est l'expression de comparaison type-objet:propriété opérateur valeur, placée entre crochets pour former une expression d'observation.

# Un hash SHA-256
[file:hashes.'SHA-256' = '9c165ab24690c682be401bdaafca19fd5124eb9b9f08dd495de87d2e0c80e652']

# Domaine OU IP : deux observations, une seule suffit
[domain-name:value = 'cdn-update.example'] OR [ipv4-addr:value = '203.0.113.45']

# Deux conditions sur le MÊME objet
[file:name = 'upd.dll' AND file:size < 300000]

# Jokers, plages CIDR et expressions régulières
[domain-name:value LIKE '%.cdn-update.example']
[ipv4-addr:value ISSUBSET '203.0.113.0/24']
[process:command_line MATCHES '^powershell.*-enc']

# Séquence + fenêtre de temps : le fichier, puis le domaine, en moins de 5 minutes
([file:hashes.'SHA-256' = 'fb18cd2a74c578b056a81a207cfe4b93d412c707c7f6751c0d4ea32219da4bf2'] FOLLOWEDBY [domain-name:value = 'cdn-update.example']) WITHIN 300 SECONDS

# Répétition : 5 connexions au C2 en 10 minutes
[network-traffic:dst_ref.value = '203.0.113.45' AND network-traffic:dst_port = 443] REPEATS 5 TIMES WITHIN 600 SECONDS

Les objets voyagent dans un bundle : une enveloppe avec "type": "bundle", un identifiant et un tableau objects (le bundle n'est pas lui-même un objet STIX et n'a pas de spec_version). Le bundle ci-dessous décrit une campagne de phishing fictive : un acteur, son malware, la technique utilisée, deux indicateurs, les observables, les relations, et un sighting remonté par un SOC. C'est du JSON STIX 2.1 valide.

{
  "type": "bundle",
  "id": "bundle--e558bf9b-eb83-400b-8375-5cc6d2c587e0",
  "objects": [
    {
      "type": "identity",
      "spec_version": "2.1",
      "id": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "created": "2026-10-14T09:00:00.000Z",
      "modified": "2026-10-14T09:00:00.000Z",
      "name": "SOC d'exemple (mlab Academy)",
      "identity_class": "organization"
    },
    {
      "type": "marking-definition",
      "spec_version": "2.1",
      "id": "marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb",
      "created": "2022-10-01T00:00:00.000Z",
      "name": "TLP:GREEN",
      "extensions": {
        "extension-definition--60a3c5c5-0d10-413e-aab3-9e08dde9e88d": {
          "extension_type": "property-extension",
          "tlp_2_0": "green"
        }
      }
    },
    {
      "type": "threat-actor",
      "spec_version": "2.1",
      "id": "threat-actor--ea786151-92a0-45df-a007-f6f8ae65fd23",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "name": "Grey Ledger",
      "description": "Acteur fictif à motivation financière, utilisé pour la formation.",
      "threat_actor_types": ["crime-syndicate"],
      "primary_motivation": "personal-gain",
      "object_marking_refs": ["marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb"]
    },
    {
      "type": "malware",
      "spec_version": "2.1",
      "id": "malware--481ba5c9-2b13-47e5-87d7-c2464ade08ec",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "name": "LedgerLoader",
      "is_family": true,
      "malware_types": ["downloader", "backdoor"],
      "object_marking_refs": ["marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb"]
    },
    {
      "type": "attack-pattern",
      "spec_version": "2.1",
      "id": "attack-pattern--a2b2da60-af37-4e61-b37b-cc0adfd6b0ea",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "name": "Spearphishing Attachment",
      "external_references": [
        {
          "source_name": "mitre-attack",
          "external_id": "T1566.001",
          "url": "https://attack.mitre.org/techniques/T1566/001/"
        }
      ],
      "kill_chain_phases": [
        { "kill_chain_name": "mitre-attack", "phase_name": "initial-access" }
      ]
    },
    {
      "type": "campaign",
      "spec_version": "2.1",
      "id": "campaign--660a8186-7fe0-4645-b44d-2ea1ed3a806a",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "name": "Vague de fausses factures - octobre 2026",
      "first_seen": "2026-10-06T00:00:00Z",
      "object_marking_refs": ["marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb"]
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--18a84965-183d-433e-a90f-79569c6eaf77",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "name": "Facture_4471.docm (dropper LedgerLoader)",
      "indicator_types": ["malicious-activity"],
      "pattern": "[file:hashes.'SHA-256' = '9c165ab24690c682be401bdaafca19fd5124eb9b9f08dd495de87d2e0c80e652']",
      "pattern_type": "stix",
      "valid_from": "2026-10-14T09:12:00Z",
      "object_marking_refs": ["marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb"]
    },
    {
      "type": "indicator",
      "spec_version": "2.1",
      "id": "indicator--11125fd5-ae7d-471a-83f7-9c397123b080",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "name": "Serveur de charge utile LedgerLoader",
      "indicator_types": ["malicious-activity"],
      "pattern": "[domain-name:value = 'cdn-update.example'] OR [ipv4-addr:value = '203.0.113.45']",
      "pattern_type": "stix",
      "valid_from": "2026-10-14T09:12:00Z",
      "valid_until": "2026-11-14T09:12:00Z",
      "object_marking_refs": ["marking-definition--bab4a63c-aed9-4cf5-a766-dfca5abac2bb"]
    },
    {
      "type": "domain-name",
      "spec_version": "2.1",
      "id": "domain-name--a584802c-c4fa-5a2d-8623-483171fa04b8",
      "value": "cdn-update.example",
      "resolves_to_refs": ["ipv4-addr--cb9d70c5-d244-531c-9efb-bcae57adc793"]
    },
    {
      "type": "ipv4-addr",
      "spec_version": "2.1",
      "id": "ipv4-addr--cb9d70c5-d244-531c-9efb-bcae57adc793",
      "value": "203.0.113.45"
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--830010b0-0d38-4ea0-87c8-5067c88405f1",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "relationship_type": "indicates",
      "source_ref": "indicator--18a84965-183d-433e-a90f-79569c6eaf77",
      "target_ref": "malware--481ba5c9-2b13-47e5-87d7-c2464ade08ec"
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--4d7b9f9f-a0b0-4729-bd87-4b8545a365ac",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "relationship_type": "uses",
      "source_ref": "threat-actor--ea786151-92a0-45df-a007-f6f8ae65fd23",
      "target_ref": "malware--481ba5c9-2b13-47e5-87d7-c2464ade08ec"
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--58ff3faa-2029-40f9-bf69-03e9905da6ff",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "relationship_type": "uses",
      "source_ref": "campaign--660a8186-7fe0-4645-b44d-2ea1ed3a806a",
      "target_ref": "attack-pattern--a2b2da60-af37-4e61-b37b-cc0adfd6b0ea"
    },
    {
      "type": "relationship",
      "spec_version": "2.1",
      "id": "relationship--11fc53ce-a4f7-47f8-91dc-0a91e714f493",
      "created": "2026-10-14T09:12:00.000Z",
      "modified": "2026-10-14T09:12:00.000Z",
      "relationship_type": "attributed-to",
      "source_ref": "campaign--660a8186-7fe0-4645-b44d-2ea1ed3a806a",
      "target_ref": "threat-actor--ea786151-92a0-45df-a007-f6f8ae65fd23",
      "confidence": 60
    },
    {
      "type": "sighting",
      "spec_version": "2.1",
      "id": "sighting--7c3e9b1a-5d24-4f6e-9a0b-2e8f4c6d1a37",
      "created": "2026-10-15T14:03:00.000Z",
      "modified": "2026-10-15T14:03:00.000Z",
      "created_by_ref": "identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb",
      "sighting_of_ref": "indicator--11125fd5-ae7d-471a-83f7-9c397123b080",
      "where_sighted_refs": ["identity--2ca7f0b5-433d-4e29-9e91-db1d737c4bcb"],
      "first_seen": "2026-10-15T13:41:07Z",
      "last_seen": "2026-10-15T13:58:22Z",
      "count": 3
    }
  ]
}

En production, ne construisez pas vos bundles à la main : des bibliothèques comme le paquet Python stix2 de l'OASIS génèrent identifiants et horodatages et vérifient les propriétés obligatoires.

Un serveur TAXII 2.1 expose une API REST réduite et prévisible. Chaque requête doit envoyer l'en-tête Accept: application/taxii+json;version=2.1, et l'authentification se fait généralement en HTTP Basic ou par clé d'API, sur HTTPS.

En pratique : le serveur TAXII public de MITRE

MITRE publie ATT&CK lui-même en TAXII 2.1, sans authentification : un terrain de jeu idéal. Notez l'option -g (--globoff) : sans elle, curl essaie d'interpréter les crochets de match[type] comme un motif.

# 1. Discovery
curl -s -H 'Accept: application/taxii+json;version=2.1' \
  https://attack-taxii.mitre.org/taxii2/

# 2. Collections de l'API root par défaut
curl -s -H 'Accept: application/taxii+json;version=2.1' \
  https://attack-taxii.mitre.org/api/v21/collections/ | jq -r '.collections[] | "\(.id)  \(.title)"'

# 3. Objets de type intrusion-set (groupes ATT&CK) de la collection Enterprise
curl -g -s -D headers.txt -H 'Accept: application/taxii+json;version=2.1' \
  'https://attack-taxii.mitre.org/api/v21/collections/x-mitre-collection--1f5f1533-f617-4ca8-9ab4-6a02367fa019/objects/?match[type]=intrusion-set&limit=50' \
  | jq -r '.more, .next, (.objects[] | .external_references[0].external_id + "  " + .name)'

Une réponse ressemble à ceci (tronquée) :

{
  "more": true,
  "next": "1",
  "objects": [
    {
      "type": "intrusion-set",
      "spec_version": "2.1",
      "id": "intrusion-set--f29b7c5e-2439-42ad-a86f-9f8984fafae3",
      "created": "2018-10-17T00:14:20.652Z",
      "modified": "2026-07-31T20:48:51.374Z",
      "name": "HEXANE",
      "aliases": [
        "HEXANE",
        "Lyceum",
        "Siamesekitten",
        "Spirlin"
      ],
      "external_references": [
        {
          "source_name": "mitre-attack",
          "url": "https://attack.mitre.org/groups/G1001",
          "external_id": "G1001"
        }
      ]
    },
    {
      "type": "intrusion-set",
      "spec_version": "2.1",
      "id": "intrusion-set--e6db1e55-b199-4b6b-8633-989345ee45e0",
      "created": "2024-08-26T17:39:06.020Z",
      "modified": "2026-07-31T18:48:24.240Z",
      "name": "Moonstone Sleet",
      "aliases": [
        "Moonstone Sleet",
        "Storm-1789"
      ],
      "external_references": [
        {
          "source_name": "mitre-attack",
          "url": "https://attack.mitre.org/groups/G1036",
          "external_id": "G1036"
        }
      ]
    }
  ]
}

Les groupes ATT&CK sont publiés comme intrusion-set et non comme threat-actor : ce sont des ensembles d'activités, pas des identités confirmées. Quand more vaut true, relancez la requête avec next=<valeur> pour obtenir la page suivante. Pour une collecte incrémentale, conservez l'en-tête de réponse X-TAXII-Date-Added-Last et passez-le en added_after la fois suivante. Sur un serveur privé, ajoutez -u "$TAXII_USER:$TAXII_PASS" et gardez les identifiants dans des variables d'environnement, jamais dans les scripts.

Le Traffic Light Protocol (TLP), maintenu par le FIRST, indique aux destinataires jusqu'où ils peuvent diffuser une information. La version 2.0 (août 2022) a remplacé TLP:WHITE par TLP:CLEAR et ajouté TLP:AMBER+STRICT. En STIX, un marquage est un objet marking-definition référencé dans object_marking_refs. Les marquages TLP 2.0 ont des identifiants fixes publiés par le comité technique CTI de l'OASIS :

Le TLP est un contrat social, pas une mesure technique : rien dans STIX n'empêche un destinataire de transférer un objet TLP:RED. Ce sont les plateformes qui l'appliquent, en filtrant ce que chaque utilisateur ou groupe de partage peut voir.