サイバー脅威情報を自動交換！TAXIIって何？🤔

TAXIIとは？

TAXII（タクシーと読みます）は、Trusted Automated eXchange of Indicator Information の略で、サイバー攻撃に関する脅威情報を、組織やシステム間で自動的に交換するための「通信ルール（プロトコル）」です。🚗💨

昔は、新しいサイバー攻撃の情報（例えば、攻撃に使われる不正なIPアドレスやウイルスの特徴など）が見つかっても、メールや電話、人手での情報共有が中心でした。これだと、情報が届くまでに時間がかかったり、形式がバラバラで使いにくかったりしました。

そこで登場したのがTAXIIです！ TAXIIを使うことで、脅威情報を標準化された方法で、安全かつ効率的に、リアルタイムでやり取りできるようになります。これにより、最新の脅威に素早く対応できるようになるのです。🛡️

TAXIIは、アメリカ合衆国国土安全保障省（DHS）によって開発が始まり、現在はオープンスタンダード（誰でも利用できる標準規格）としてOASISという非営利団体によって管理されています。

TAXIIの仕組み：どうやって情報を交換するの？

TAXIIは、情報を送る側（TAXIIサーバー）と受け取る側（TAXIIクライアント）の間で通信を行います。クライアントがサーバーに「新しい情報はある？」と問い合わせ（リクエスト）、サーバーが情報を提供する（レスポンス）という、一般的なWebサービスと同じような仕組み（クライアントサーバーモデル）です。通信には安全なHTTPSが使われます。

TAXIIにはいくつかの重要な概念があります。

• コレクション (Collection): TAXIIサーバーが提供する脅威情報の保管場所のようなものです。クライアントは特定のコレクションを指定して情報を要求します。例えば、「マルウェア情報コレクション」や「フィッシングサイト情報コレクション」のように分類されています。(TAXII 2.xで主に使われます)
• APIルート (API Root): TAXIIサーバーが提供するAPI（サービスの窓口）のURLです。一つのサーバーが複数のAPIルートを持つこともあります。(TAXII 2.x)
• チャネル (Channel): 特定のテーマに関する情報をリアルタイムに配信するための仕組みです。（TAXII 1.xで使われていましたが、TAXII 2.1では予約語として定義されており、将来のバージョンで実装される予定です）
• 共有モデル: TAXIIは、様々な情報共有の形に対応できます。
  • ハブ＆スポーク: 中央のサーバー（ハブ）が情報を集約し、各組織（スポーク）に配信するモデル。
  • ピアツーピア: 組織同士が直接情報を交換するモデル。
  • ソース／サブスクライバー: 情報提供者（ソース）から購読者（サブスクライバー）へ一方向に情報を流すモデル。
• データ共有方式:
  • プル型 (Pull): クライアントが必要な時にサーバーに情報を要求して取得する方式。
  • プッシュ型 (Push): サーバーが新しい情報をクライアントに自動的に送りつける方式。（TAXII 1.xのチャネルなどで使われました）

STIXとの関係：情報はどんな形式？

TAXIIと非常によく一緒に使われるのがSTIX（スティックス: Structured Threat Information eXpression）です。

TAXIIが「情報を運ぶための輸送手段（プロトコル）」だとすると、STIXは「運ばれる情報の中身（データ形式）」を定義する言語です。🚚📦

STIXを使うと、サイバー攻撃に関する様々な情報（攻撃者の情報、攻撃の手法、使用されたマルウェア、脆弱性、対策など）を、構造化された標準的な形式（主にJSON形式）で記述できます。

TAXIIとSTIXは独立した標準ですが、組み合わせて使うことで、脅威情報の「内容」と「伝達方法」の両方を標準化でき、非常に効率的な情報共有が実現します。多くのTAXII実装では、STIX形式のデータをやり取りすることが前提となっています。

TAXIIのバージョン

TAXIIにはいくつかのバージョンがあります。主な違いは以下の通りです。

現在では、よりモダンで使いやすい TAXII 2.x (特に2.1) が主流となっています。RESTful APIを採用しているため、他のWebサービスとの連携や開発が容易になっています。

TAXIIを使うメリット ✨

• 自動化 人手による作業が減り、情報共有プロセスが効率化される。
• 迅速性 最新の脅威情報がリアルタイムに近い形で共有され、素早い対応が可能になる。
• 標準化 決まった形式（STIX）と手順（TAXII）で情報が交換されるため、異なるツールや組織間でも互換性が保たれる。
• 連携強化 ISAC（情報共有分析センター）やセキュリティベンダー、企業間での協力が促進される。
• 脅威検知・対応の向上 共有された脅威情報（IoCなど）をセキュリティ機器（SIEM, ファイアウォール等）に自動で取り込み、防御力を高めることができる。

どんなところで使われているの？

TAXIIは、以下のような場面で活用されています。

• ISAC (Information Sharing and Analysis Center): 業界ごと（金融、医療、重要インフラなど）の情報共有センターが、加盟組織間で脅威情報を共有するために利用。
• セキュリティベンダー: 自社で収集した脅威インテリジェンスを顧客や他のベンダーと共有。
• 大企業や政府機関: 組織内や関連組織との間で、脅威情報を効率的に流通させるために利用。
• 脅威インテリジェンスプラットフォーム (TIP): 様々なソースから脅威情報を収集し、TAXIIを通じて提供・受信するプラットフォーム。Microsoft Sentinel なども TAXII フィードの接続をサポートしています。
• オープンソースの脅威情報: 公開されている脅威情報フィードがTAXIIサーバーを通じて提供されることもあります。

例えば、ある企業が新しいタイプのマルウェアに感染した際、そのマルウェアの特徴（ファイルハッシュ値や通信先のIPアドレスなど）をSTIX形式で記述し、TAXIIサーバーを通じて業界のISACに共有します。ISACは受け取った情報を他の加盟企業にTAXIIで配信し、各企業は自社のセキュリティ対策にその情報を迅速に反映させる、といった活用が行われています。