---
title: "STIXとは？脅威インテリジェンス標準をSTIX 2.1・TAXII連携まで実装視点で解説【2026年時点】"
url: "https://www.issoh.co.jp/tech/details/5127/"
published: 2025-01-31
updated: 2026-10-12
categories: ["セキュリティ"]
publisher: "株式会社一創"
---

# STIXとは？脅威インテリジェンス標準をSTIX 2.1・TAXII連携まで実装視点で解説【2026年時点】

STIX（スティックス、Structured Threat Information eXpression）は、サイバー攻撃の指標や攻撃者、手口といった脅威情報を機械可読な形で記述するための標準規格です。組織ごとにバラバラだった脅威情報の書式を統一し、ツールや組織をまたいだ自動共有を可能にします。現行の最新版は2021年6月にOASIS標準となった**STIX 2.1**で、データはJSONで表現します。データの「書式」を定めるのがSTIX、その書式を「運ぶ」のがTAXII（タクシー）で、2つはセットで使われます。この記事では読み方・定義から、STIX 2.1のデータモデルとJSON実例、TAXIIとの役割分担、バージョンの違い、SIEM/TIPでの実務活用までを一次情報で整理します。

## まとめ：STIXの要点

- **読み方**は「スティックス」。正式名称はStructured Threat Information eXpression（構造化脅威情報記述形式）。
- **役割分担**：STIX＝脅威情報のデータ形式、TAXII＝そのデータを交換する転送プロトコル。単体では共有まで完結しない。
- **現行版はSTIX 2.1**（2021年6月10日OASIS標準、JSONベース）。2026年時点で2.2は策定されておらず2.1が最新。旧1.x系はXMLで、互換性はない。
- **データモデル**はSTIXドメインオブジェクト（SDO）18種、サイバー観測可能オブジェクト（SCO）18種、関係オブジェクト（SRO）2種で構成される（仕様上はIncidentを含め19種が列挙されるが、Incidentは中身が未定義のスタブのため実質18種）。
- **管理団体**はOASIS（CTI技術委員会）。MITREが米DHS支援で開発し、2015年にOASISへ移管された。

以下、各要点をデータモデルの実例と一次情報で掘り下げます。

## STIXの読み方・定義とOASIS標準としての位置づけ

まず用語の整理から入ります。STIXは検索でも「読み方」「OASIS」「security」といった素朴な疑問が多く、ここを外すと本題の理解がずれます。

### 読み方は「スティックス」・正式名称と意味

STIXは「スティックス」と読み、Structured Threat Information eXpressionの頭字語です。日本語では「構造化脅威情報記述形式」と訳されます。似た文脈で登場するTAXIIは「タクシー」と読みます。読み方が定まっていない用語ですが、セキュリティ実務ではこの2つで通じます。

### STIXが解決する課題：脅威情報の非構造化問題

STIXが生まれた背景は、脅威情報の「書式のばらつき」です。従来はベンダーや組織ごとにレポート形式が異なり、あるIPアドレスが「攻撃元」なのか「調査対象」なのかといった文脈が、人が読まないと分からない自由記述で共有されていました。これでは機械的な取り込みや相関分析ができません。STIXは攻撃者・手口・指標・観測事象などを型の決まったオブジェクトとして記述し、ツールがそのまま解釈・突合できる状態にします。

### 標準化の経緯：MITRE／DHSからOASISへの移管

STIXはもともとMITREが米国国土安全保障省（DHS）の支援のもとで開発しました。2015年6月、DHSがSTIXとTAXIIの知的財産・商標をOASIS（非営利の標準化コンソーシアム）へ移管し、以降はOASISのサイバー脅威インテリジェンス技術委員会（CTI TC）が仕様を策定・維持しています。開発主体が一国の政府機関から国際的な標準化団体へ移ったことで、ベンダー中立の共通言語として普及が進みました。

## STIX 2.1のデータモデル：SDO・SCO・SROとJSON表現

STIXの中身は複数種類のオブジェクトと、それらを結ぶ関係で構成されるグラフ構造です。STIX 2.1では要素が3つのカテゴリに分かれます。ここが競合の用語集記事で最も省かれる部分で、実装時に必要になる情報です。

### 3分類：ドメインオブジェクト・観測オブジェクト・関係オブジェクト

| 分類                            | 略称  | 種類数  | 役割                 |
| ----------------------------- | --- | ---- | ------------------ |
| STIX Domain Objects           | SDO | 18種※ | 攻撃者・手口・指標など概念単位の情報 |
| STIX Cyber-observable Objects | SCO | 18種  | IPやファイル等の観測可能な事実   |
| STIX Relationship Objects     | SRO | 2種   | オブジェクト同士の関係付け      |

※SROはRelationship（汎用の関係）とSighting（あるオブジェクトを実際に「観測した」記録）の2種類だけです。この3分類を組み合わせて、「この攻撃者がこのマルウェアを使い、その痕跡をこのIPで観測した」という文脈をグラフとして表現します。なおSDOはSTIX 2.1の仕様上Incidentを含め19種が列挙されますが、Incidentは必須プロパティのみのスタブ（将来拡張用の予約）で中身が未定義のため、実装で使えるSDOは実質18種です。

### 代表的なSDOと使いどころ

18種のSDOのうち、実務で頻出するものを挙げます。Indicator（検知に使う指標とパターン）、Malware（マルウェア）、Attack Pattern（攻撃手法）、Threat Actor（攻撃者）、Campaign／Intrusion Set（攻撃キャンペーン・攻撃者グループ）、Infrastructure（攻撃インフラ）、Observed Data（観測データ）、Course of Action（対処策）などです。ATT&CKの戦術・技術に対応する記述もAttack PatternやMalware経由で表現できます。

### IndicatorオブジェクトのJSON例

STIX 2.1のオブジェクトはJSONオブジェクト1つで表されます。悪性IPアドレスを検知指標として記述したIndicatorの最小例が次です。

```
{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4cbf-938f-98ee46b3cd3f",
  "created": "2021-06-10T00:00:00.000Z",
  "modified": "2021-06-10T00:00:00.000Z",
  "name": "Malicious IP 198.51.100.1",
  "pattern": "[ipv4-addr:value = '198.51.100.1']",
  "pattern_type": "stix",
  "valid_from": "2021-06-10T00:00:00Z"
}
```

typeでオブジェクト種別を、idで一意識別子を示し、patternに検知条件をSTIXパターニング言語で書きます。この形式なら、SIEMやTIPがpatternを解釈して自動でルール化できます。

### RelationshipとSightingでオブジェクトを結ぶ

個々のオブジェクトはidで参照し合います。たとえばIndicator（指標）とMalware（マルウェア）を「indicates（示す）」という関係で結ぶにはRelationshipオブジェクトを使い、source\_refとtarget\_refに双方のidを入れます。実際にその指標を観測したらSightingで「いつ・何回・どこで見たか」を記録します。この参照ベースの構造により、同じマルウェア情報を各所で重複記述せず、関係だけを足していけます。

## STIXとTAXIIの関係：フォーマットと転送の役割分担

STIXとTAXIIは必ずと言っていいほどセットで語られますが、担当領域は明確に分かれています。混同すると「STIXで共有する」という不正確な表現になりがちです。

### STIX＝データ形式、TAXII＝転送プロトコル

STIXは脅威情報を「どう書くか」を定義するだけで、それ自体に通信機能はありません。書いたSTIXデータを組織間で「どう運ぶか」を担うのがTAXIIで、HTTPS上のRESTful APIとして動作します。STIXが手紙の書式、TAXIIが郵便網に相当します。TAXIIを使わずファイル手渡しでSTIXを共有することも可能で、両者は独立して選べます。

### TAXII 2.1のデータ交換単位：Collection（要求-応答型）

TAXII 2.1は情報配布の仕組みとしてCollection（要求側が取りに行くリクエスト・レスポンス型）を規定します。利用側はTAXIIサーバーのCollectionにアクセスして最新のSTIXデータを取得します。仕様にはPublish-Subscribe型のChannelも登場しますが、TAXII 2.1ではChannelは将来用に予約されただけで具体的な仕様は定義されておらず、実運用はCollectionが中心です。サーバー実装にはOASIS系のオープン実装や商用のTIP製品があり、Microsoft SentinelやそのほかのSIEMはTAXIIクライアントとして外部フィードに接続できます。

### 注意：TAXIIの正式名称はバージョンで異なる

細かいですが誤記されやすい点です。TAXIIの正式名称は版で変わっています。1.x系は「Trusted Automated eXchange of **Indicator** Information」（指標情報の交換）でしたが、2.x系では「Trusted Automated Exchange of **Intelligence** Information」（脅威インテリジェンスの交換）に改められました。扱う範囲が「侵害指標」から「脅威インテリジェンス全般」へ広がったことを反映した変更で、古い解説はIndicator版のまま止まっていることが多いため注意してください。

## STIXのバージョン変遷：1.x（XML）から2.x（JSON）へ

STIXは仕様の世代でデータ形式そのものが変わっています。「stix2」「stix 2.1」で検索する読者が知りたいのは、この世代差と現行版がどれかです。

### STIX 1.x（XML）とSTIX 2.x（JSON）の違い

STIX 1系はXMLで記述する仕様でした。日本語での代表的な解説であるIPAの「脅威情報構造化記述形式STIX概説」は、2014年5月のSTIX 1.1.1を対象にXMLで解説しています（1系の最終版は2015年5月のSTIX 1.2、その後OASIS配下で1.2.1）。STIX 2.0（2017年7月のOASIS委員会仕様）以降はXMLを廃してJSONへ移行し、記述量が減り、一般的な開発言語のライブラリでそのまま扱えるようになりました。1.xと2.xはデータ構造が根本的に異なり、直接の互換性はありません。移行には変換処理が必要です。

### XMLからJSONへ移行した理由：冗長性とツール実装コスト

1.xのXMLは表現力は高い一方で冗長で、パースやツール実装のハードルが高いという実務的な課題がありました。2.xはJSONとオブジェクト参照モデルを採用し、REST API（TAXII 2.x）との親和性を高めています。これから脅威情報連携を新規実装するなら、1.x系を選ぶ理由は基本的にありません。

### 現行はSTIX 2.1（2026年時点の最新）

STIX 2.1は2021年6月10日にOASIS標準として公開され、2025年4月にErrata 01（正誤表）が反映されています。2026年時点でSTIX 2.2の正式仕様は策定されておらず、実質的な最新かつ推奨版はSTIX 2.1です。2.0から2.1ではInfrastructureやMalware Analysisなどのオブジェクトが追加・整理され、表現できる脅威情報の幅が広がりました。導入時は連携先ツールがSTIX 2.1に対応しているかを起点に選定すれば十分です。

## STIXの実務活用と、採用すべきでない場面

規格を理解しても、自組織で使うかは別の判断です。ここは用語集記事が触れない領域なので、活用パターンと「向かないケース」を具体条件で示します。

### SIEM・TIPへの取り込みで検知と共有を自動化する

典型的な使い方は、STIX/TAXIIで受け取った指標を脅威インテリジェンスプラットフォーム（TIP）やSIEMに取り込み、検知ルールや相関分析に流し込む運用です。受け取ったIndicatorのpatternをそのまま監視条件に変換できるため、手作業のIOC登録を減らせます。ログ相関と検知基盤の全体像は[SIEMの仕組みと製品選定の解説](/tech/details/13310/)を、それを運用する体制側は[SOCとSIEM・SOARの違いの解説](/tech/details/13310/)を参照してください。組織間共有では、日本では[JPCERT/CCの役割](/tech/details/8688/)のような調整機関を経由した情報連携が現実的な導線になります。

### 採用すべきでない・費用対効果が合わない場面

STIX/TAXIIは万能ではありません。次のような場合は導入を急ぐべきではないと考えます。第一に、受信した脅威情報を取り込む先（TIPやSTIX対応SIEM）が無い組織です。フォーマットだけ整えても活用先が無ければ運用負荷が増えるだけになります。第二に、共有相手が固定で少数、かつ低頻度の連携しかない場合です。TAXIIサーバーの構築・運用コストに対し、CSVや手動連携で足りることが多いです。第三に、自組織が指標の生成側でなく純粋な消費側なら、まずは商用フィードのSTIX対応コネクタを使い、自前サーバー構築は見送るのが妥当です。標準化の恩恵は「機械的に取り込んで自動処理する運用」が前提で成立します。

## よくある質問

### STIXの読み方は？

「スティックス」と読みます。Structured Threat Information eXpression（構造化脅威情報記述形式）の頭字語です。併記されるTAXIIは「タクシー」と読みます。

### STIXとTAXIIの違いは？

STIXは脅威情報の「データ形式（何を書くか）」を定める規格、TAXIIはそのデータを組織間で「転送するプロトコル（どう運ぶか）」です。STIXは通信機能を持たず、共有にはTAXIIなどの転送手段を組み合わせます。

### STIXの最新バージョンは？

2026年時点の最新はSTIX 2.1です。2021年6月10日にOASIS標準となり、2.2の正式仕様はまだ策定されていません。旧1.x系はXMLベースで、2.x系のJSONとは互換性がありません。

### STIXはどんな形式・言語で書かれる？

STIX 2.xはJSONで記述します。各脅威情報をtypeやidを持つJSONオブジェクトとして表し、オブジェクト同士をidで参照し合うグラフ構造をとります。1.x系はXMLでしたが現在は非推奨です。

### STIXを管理している団体は？

OASIS（Organization for the Advancement of Structured Information Standards）のサイバー脅威インテリジェンス技術委員会（CTI TC）が策定・維持しています。もとはMITREが米DHS支援で開発し、2015年にOASISへ移管されました。

## 関連記事

- [SIEMとは？仕組み・機能とEDR/XDR/SOARの違い・製品選定を実装視点で解説【2026年時点】](/tech/details/13310/)
- [SOCとは？SIEM・SOARとの違いと監視運用の仕組み・内製とアウトソースの判断を実装者向けに解説【2026年時点】](/tech/details/13310/)
- [JPCERT/CCとは？読み方・役割・IPAとの違いをわかりやすく解説](/tech/details/8688/)

---

出典: [STIXとは？脅威インテリジェンス標準をSTIX 2.1・TAXII連携まで実装視点で解説【2026年時点】](<https://www.issoh.co.jp/tech/details/5127/>)（株式会社一創）