Les cyberattaques débordent rarement le périmètre d’une seule organisation. Très souvent, le même acteur malveillant vise en parallèle plusieurs cibles, ce qui rend la réponse plus complexe et plus coûteuse. Pour limiter l’exposition collective, il faut pouvoir échanger des informations de menace rapidement et de façon standardisée. C’est précisément l’objectif de STIX/TAXII 2.1, désormais mieux ancré dans le contexte européen du partage de données de cybermenace.
À partir du 1er juillet 2026, les normes STIX/TAXII 2.1 sont ajoutées à la liste « Appliquer ou expliquer » du Forum Standaardisatie. Pour les communes néerlandaises, les provinces, l’État, les organismes des eaux et les entités d’exécution, cela signifie une attente renforcée d’utilisation de cette norme ouverte lors de l’achat ou du développement de solutions de sécurité, sauf justification valable.
Pourquoi partager des informations de menace change tout
Imaginez qu’une organisation et un fournisseur important soient visés par une campagne ransomware encore inconnue. Les analystes identifient des éléments techniques liés à l’attaque, comme des indicateurs tels que des adresses IP ou des domaines. Ces éléments sont appelés indicators of compromise (IoC).
Avec STIX, ces indicateurs peuvent être décrits de manière structurée, dans un format exploitable par des machines. Ensuite, via TAXII, ils peuvent être partagés automatiquement et de façon sécurisée avec des partenaires, d’autres fournisseurs ou des structures de coopération sectorielle (par exemple des ISAC).
Le résultat est concret : les systèmes de sécurité des organisations connectées (comme un SIEM ou un XDR) peuvent ingérer ces indicateurs directement et détecter plus rapidement des comportements malveillants, voire les bloquer si c’est configuré ainsi. En d’autres termes, une menace observée localement se transforme plus vite en action collective.
STIX/TAXII 2.1 : ce qui évolue par rapport aux versions précédentes
Le cœur de l’amélioration apportée par STIX/TAXII 2.1 concerne la manière de faciliter le partage. Les anciennes versions STIX/TAXII (notamment en 1.x) rendaient théoriquement possible le retour d’informations (par exemple des « sightings », c’est-à-dire des observations), mais dans la pratique, l’implémentation était souvent trop complexe. Cela conduisait fréquemment à un partage à sens unique.
Avec STIX/TAXII 2.1, la logique devient plus simple et plus favorable à l’échange bidirectionnel, y compris le retour d’observations. Sur le plan technique, la norme s’appuie sur un modèle de données JSON et une architecture REST, plutôt que sur les structures XML et SOAP plus anciennes. Cette modernisation facilite l’automatisation et permet un déploiement à plus grande échelle.
Un modèle de menace plus clair et plus flexible
Autre point important : la flexibilité du modèle pour décrire les menaces. Là où certaines entités STIX 1.x pouvaient être réutilisées pour plusieurs objectifs, STIX 2.1 clarifie davantage la structure en distinguant des éléments comme Attack Pattern, Malware, Tool et Vulnerability. Cette approche contribue à une meilleure compréhension et à une meilleure exploitation par les outils.
Meilleure évolutivité pour des volumes plus importants
Côté transport, TAXII 2.1 améliore la scalabilité grâce à des fonctions telles que la pagination, les traitements par lots et un filtrage renforcé. Concrètement, cela aide à traiter plus efficacement des jeux de données plus volumineux que ce qui était plus facile avec TAXII 1.x.
Une base ouverte qui limite la dépendance fournisseur
Le partage via RESTful APIs sur HTTPS aide aussi les organisations à intégrer plus facilement des systèmes hétérogènes. Comme STIX/TAXII repose sur une norme ouverte, la dépendance à un fournisseur spécifique est réduite. Autrement dit, vous capitalisez sur un mécanisme de partage standard, plutôt que sur un format propriétaire difficile à faire évoluer.
Le NCSC indique par ailleurs vouloir capitaliser, dans la période à venir, sur les retours et apprentissages tirés de l’utilisation de STIX/TAXII 2.1 pour contribuer à sa poursuite d’évolution.
Mettre en place STIX/TAXII 2.1 : un plan en 4 étapes
Adopter STIX/TAXII 2.1 ne se résume pas à « activer une intégration ». Pour éviter les déceptions, il est utile d’avancer de façon pragmatique. Voici une démarche en quatre étapes inspirée des recommandations présentées.
1) Faites l’inventaire de vos capacités CTI
Commencez par cartographier ce que vous recevez déjà comme informations de cybermenace. Cela peut inclure des données issues du NCSC ou de flux commerciaux. Puis analysez comment ces informations sont traitées aujourd’hui : une partie du processus est-elle encore manuelle ? Des scripts existent-ils ?
2) Vérifiez le support de vos systèmes
Ensuite, assurez-vous que vos outils peuvent réellement consommer STIX/TAXII 2.1. Des systèmes tels qu’un Threat Intelligence Platform ou un SIEM peuvent déjà supporter la norme, mais il faut confirmer. Si le support n’est pas clair, demandez-le à votre fournisseur, ou incluez-le explicitement comme exigence lors de l’acquisition d’une nouvelle solution.
3) Commencez simple avec une source fiable
Pour réduire le risque de surcharge, démarrez petit. L’idée est de lire automatiquement une source unique fiable, par exemple un partenaire ISAC du secteur, via un client TAXII 2.1. Durant les tests, vérifiez que vos systèmes traduisent correctement les objets STIX en alertes utiles dans votre tableau de bord, sans noyer vos équipes sous des faux positifs.
Une fois cette base stable, vous pourrez étendre progressivement vers plusieurs sources.
4) Préparez le partage actif, pas seulement la consommation
Lorsque la phase de consommation fonctionne de manière satisfaisante, visez la prochaine étape : le retour d’informations. Définissez en interne quelles données peuvent être partagées avec la chaîne, par exemple des adresses IP ou des empreintes de logiciels malveillants (malware hashes). L’objectif est de boucler la boucle bidirectionnelle pour renforcer la valeur collective du dispositif.
À quoi ressemble un échange « en chaîne » dans un SOC
Dans un environnement opérationnel, l’échange se fait généralement à l’intérieur d’une chaîne d’organisations connectées. Les informations circulent entre pairs et reviennent avec des observations, tout en étant intégrées dans les centres opérationnels de sécurité (SOC) via des outils tels que SIEM et SOAR.
L’approche vise un partage rapide et efficace : chaque partie peut contribuer à la détection, tandis que l’ensemble améliore sa capacité à réagir. Le principe est simple : diffuser plus vite les signaux utiles, pour mieux protéger l’écosystème.
Conclusion : agir plus tôt grâce à STIX/TAXII 2.1
Parce que les attaques se propagent et ciblent plusieurs organisations, la réponse doit elle aussi être collective et réactive. STIX/TAXII 2.1 fournit un cadre moderne pour partager des informations de menace de manière structurée, automatisée et plus facilement bidirectionnelle.
En démarrant par l’inventaire, en vérifiant le support des outils, en testant une source unique avant d’étendre, puis en organisant le retour d’informations, vous réduisez le risque et vous progressez vers une détection plus rapide au sein de votre SOC. Enfin, en choisissant une norme ouverte, vous gagnez en flexibilité et vous renforcez la sécurité de l’ensemble du réseau.
Source: https://www.ncsc.nl/expertblogs/wissel-effectiever-dreigingsinformatie-uit-met-stixtaxi-21
