IoC's tot TTP's: STIX biedt de volledige aanvalscontext

"De taal van de aanval moet sneller spreken dan de verdediging kan reageren."

Het overbruggen van de kloof tussen ruwe data en een effectieve verdediging is de grootste uitdaging in de moderne cybersecurity.

Wanneer een nieuwe aanval wordt ontdekt, is het niet genoeg om alleen een IP-adres te delen; we moeten de volledige context van de dreiging begrijpen om collectief te kunnen handelen.

Belangrijkste inzichten: * STIX fungeert als een universele taal die ervoor zorgt dat verschillende beveiligingstools en teams dezelfde context begrijpen.

* Door machine-leesbaarheid kunnen risico's (Indicators of Compromise) automatisch worden verwerkt door systemen van zowel bedrijven als overheden.

* Standaardisatie zoals STIX zorgt ervoor dat informatie niet alleen uit losse lijstjes bestaat, maar een rijk verhaal vertelt over de tactieken van aanvallers.

* Deze verschuiving is essentieel omdat cyberaanvallen steeds sneller en complexer worden, wat directe samenwerking tussen sectoren vereist.

Wat is STIX en waarom is het ontwikkeld?

In de schemering van een kantoor staart de beheerder met vermoeide ogen naar een scherm vol chaotische tekstfragmenten.

Een IT-beheerder staart naar een scherm vol met cryptische logbestanden en een e-mail met een waarschuwing over een nieuwe malware-variant. De informatie is waardevol, maar de vorm is een chaos van losse tekstfragmenten en ongestructureerde data.

STIX (Structured Threat Information eXpression) is ontworpen om deze chaos te elimineren. Het is een gestandaardiseerde taal die specifiek is ontwikkeld om informatie over cyberdreigingen te beschrijven op een manier die zowel door mensen als door machines begrepen kan worden.

In plaats van een handgeschreven rapport dat uren kost om te analyseren, biedt STIX een kader waarin informatie direct bruikbaar is.

Vroeger werd dreigingsinformatie vaak gedeeld via ongestructureerde methoden, zoals een blogpost of een losse e-mail met een lijstje met IP-adressen. Dit werkt wel voor een enkele waarschuwing, maar het schaalt niet.

Als een bedrijf in Amsterdam een aanval detecteert, moet een overheidsinstantie in Den Haag of een partnerbedrijf in Rotterdam die informatie direct kunnen integreren in hun eigen systemen.

STIX lost het probleem van interoperabiliteit op: het zorgt ervoor dat verschillende beveiligingssoftwarepakketten met elkaar kunnen "praten" zonder dat een menselijke operator elke regel code handmatig hoeft te vertalen.

De mechanica van machine-leesbare intelligentie: De bouwstenen van STIX

Stel je een enorme kist voor met duizenden losse schroefjes, moeren en bouten van verschillende formaten. Als je een kast wilt bouwen, heb je niet alleen de onderdelen nodig, maar ook een blauwdruk die precies zegt welk onderdeel waar hoort.

STIX gaat verder dan alleen het delen van een "schroefje" (zoals een enkel IP-adres). Het biedt de blauwdruk. Waar traditionele informatie vaak alleen kijkt naar *Indicators of Compromise* (IoC's) — de digitale vingerafdrukken van een aanval — kijkt STIX naar de volledige context.

De kern van STIX bestaat uit verschillende objecten die samen een compleet beeld vormen: 1. Observables: De ruwe data, zoals een specifiek bestand of een netwerkverkeer-log. 2. Indicators: De bewijslast die een 'observable' koppelt aan een dreiging. 3.

Malware: De specifieke kwaadaardige software die wordt gebruikt. 4. TTP (Tactics, Techniques, and Procedures): De strategie en de methodiek van de aanvaller.

Door deze elementen te structureren, kan een beveiligingssysteem automatisch een bekende aanvalstechniek koppelen aan een kwetsbaarheid in het eigen netwerk.

Als een hacker een specifieke methode gebruikt om door een firewall te breken, kan een STIX-bericht dit patroon direct herkennen en de verdediging aanpassen, nog voordat een menselijke analist de melding ziet.

De noodzaak voor samenwerking: De brug tussen industrie en overheid

Een groot netwerkbedrijf ziet een golf van verdacht verkeer op maandagochtend. Tegelijkertijd merkt een overheidsinstantie een ongebruikelijke inlogpoging bij een ministerie. Zonder een gedeelde taal zijn deze twee gebeurtenissen slechts losse incidenten.

Volgens het rapport van National Institute of Standards heeft MITRE sinds 2014 het National Cybersecurity FFRDC beheerd na het ontvangen van een contract van 5 miljard dollar.

De schaal van moderne cyberaanvallen is zo groot dat geen enkele organisatie, hoe groot ook, de dreiging alleen kan afslaan. Sophisticated, persistent threats (geavanceerde, aanhoudende dreigingen) vereisen een gecoördineerde verdediging.

Hier komt de noodzaak voor informatie-uitwisseling tussen de private sector en de overheid kijken.

Overheidsinstanties, zoals nationale certificeringsautoriteiten (CERT's), zijn afhankelijk van de data die door bedrijven wordt verzameld. Omgekeerd hebben bedrijven behoefte aan de strategische context die alleen door overheden op nationaal of internationaal niveau kan worden verkregen.

STIX vormt de brug. Het stelt organisaties in staat om informatie te delen zonder de privacy of de integriteit van hun eigen systemen in gevaar te brengen. Het gaat niet alleen om snelheid, maar ook om de betrouwbaarheid van de informatie.

Als informatie gestructureerd is, is de kans op interpretatiefouten kleiner, wat essentieel is voor het opbouwen van vertrouwen tussen verschillende partijen.

Van theorie naar praktijk: Hoe STIX de verdediging activeert

Een beveiligingsteam ontvangt een melding op een dinsdagmiddag. De melding bevat geen tekstuele waarschuwing, maar een gestructureerd STIX-bestand dat direct door hun beveiligingsplatform wordt ingelezen.

Laten we een realistisch scenario doorlopen: 1. Detectie: Een hacker gebruikt een nieuwe techniek om via een kwetsbaarheid in een veelgebruikte VPN-oplossing binnen te dringen. 2.

Modellering: Een beveiligingsonderzoeker legt deze techniek vast in een STIX-object, inclusief de specifieke methodiek (TTP). 3. Delen: Dit STIX-bestand wordt via een beveiligd kanaal (zoals het TAXII-protocol) gedeeld met een netwerk van partners. 4.

Actie: Het beveiligingssysteem van een ander bedrijf ontvangt het bestand. Omdat het de juiste structuur heeft, herkent het systeem direct dat de huidige netwerkactiviteit overeenkomt met het beschreven patroon. 5.

Preventie: Het systeem blokkeert de toegang automatisch op basis van de gedeelde informatie, nog voordat de hacker de kans krijgt om data te exfiltreren.

Dit proces transformeert beveiliging van een reactieve discipline (reageren op een incident) naar een proactieve discipline (het voorkomen van een incident door informatie te gebruiken).