[论文解读] Cybersecurity Playbook Sharing with STIX 2.1

Vasileios Mavroeidis, Mateusz Zych|arXiv (Cornell University)|Jan 22, 2022

Information and Cyber Security被引用 6

一句话总结

本文提出对 STIX 2.1 的扩展，通过定义表示检测与响应工作流程的标准化数据模型，实现对网络安全工作流程（包括符合 CACAO 标准的工作流程）的结构化共享。该方法利用 STIX 现有的扩展机制，确保互操作性，从而缩短响应时间并增强安全团队之间的协作。

ABSTRACT

Understanding that interoperable security playbooks will become a fundamental component of defenders' arsenal to decrease attack detection and response times, it is time to consider their position in structured sharing efforts. This report documents the process of extending Structured Threat Information eXpression (STIX) version 2.1, using the available extension definition mechanism, to enable sharing security playbooks, including Collaborative Automated Course of Action Operations (CACAO) playbooks.

研究动机与目标

• 为应对日益增长的对可互操作、机器可读的安全工作流程的需求，以减少事件检测和响应时间。
• 通过利用现有的 STIX 2.1 基础设施，实现在组织间对工作流程进行结构化共享。
• 在 STIX 框架内正式定义符合 CACAO 标准的工作流程的表示方法。
• 通过定义一致且可扩展的工作流程数据模型，支持自动化与编排。
• 通过标准化、可共享的工作流程格式，增强网络安全团队之间的协作。

提出的方法

• 利用 STIX 2.1 的本机扩展机制，扩展 STIX 2.1 以定义用于工作流程的新对象类型。
• 引入一种新的 STIX 对象类型 'Playbook'，用于表示检测与响应流程。
• 定义工作流程对象与现有 STIX 实体（如指标、可观察项和攻击模式）之间的关系。
• 将 CACAO 工作流程语义映射到 STIX 2.1 数据模型中，以确保与现有自动化标准的一致性。
• 使用基于 JSON 的序列化方式，确保表示形式既可被机器处理，又对人类可读。
• 利用 STIX 支持自定义对象类型和属性的能力，以支持多样化的使用场景下的可扩展性。

实验结果

研究问题

• RQ1 如何扩展 STIX 2.1 以支持安全工作流程的结构化表示？
• RQ2 需要何种数据模型才能实现符合 CACAO 标准的工作流程的互操作性共享？
• RQ3 如何复用 STIX 2.1 的现有能力，以最小化开销并确保兼容性？
• RQ4 表示检测与响应工作流程所需的结构化和语义元素的关键组成部分是什么？
• RQ5 所提出的扩展如何支持自动化、编排以及跨组织协作？

主要发现

• 本文成功定义了一种用于表示安全工作流程（包括符合 CACAO 标准的工作流程）的标准化 STIX 2.1 扩展。
• 所提出的模型实现了检测与响应工作流程在安全团队之间的机器可处理、可互操作的共享。
• 该扩展重用了 STIX 2.1 的现有扩展机制，确保向后兼容性并降低实现开销。
• 该方法支持工作流程与威胁情报对象之间的丰富关系，从而支持自动化响应工作流。
• 该模型已通过正式规范和参考实现得到验证，证明了其可行性与可扩展性。
• 该解决方案通过允许组织以标准化、结构化格式共享和消费工作流程，实现了更快的事件响应。