Structured Threat Information eXpression（脅威情報構造化記述形式)、略してSTIXはサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする。
なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。
STIXバージョン1.1.1 以下の８つの情報群から構成される： +名称意味概要Campaignsサイバー攻撃活動「攻撃活動の意図（campaign:Intended_Effect)」と「攻撃活動の状態(campaign:Status)」等を記述Threat_Actors攻撃者「攻撃者のタイプ(ta:Type)」、「攻撃者の動機(ta:Motivation)」、「攻撃者の熟練度(ta:Sophistication)」、「攻撃者の意図(ta:Intended_Effect)」等を記述TTPs攻撃手口「攻撃手口の意図(ttp:Intended_Effect)」、「使用されたマルウェアのタイプ(ttp:Malware_Instance)」、「攻撃で用いられたツール(ttp:Tool)」、「攻撃者の攻撃基盤(ttp:Infrastructure)」、「攻撃対象となるシステム(ttp:Targeted_Systems)」、「攻撃対象となる情報(ttp:Targeted_Information)」、「攻撃のパターン(ttp:Attack_Pattern)」を等記述。 なお、TTPsは「Tactics, Techniques and Procedures」（戦術、技術、手順）の略。攻撃のパターン(ttp:Attack_Pattern)にはCAPECのidを記述。Indicators検知指標検知指標のタイプ(indicator:Type)を等記述Observables観測事象CybOX形式で観測事象を等記述Incidentsインシデント「インシデントの分類(incident:Category)」、「被害を受けた資産の所有者(incident:Ownership_Class)」、「資産の管理者(incident:Management_Class)」、「資産の場所(incident:Location_Class)」、「インシデントによる被害分類(incident:Property)」、「インシデントの影響を受けた対象(incident:Effect)」、「インシデント対処の状況(incident:Status)」、「侵害の発生有無(incident:Security_Compromise)」、「発見方法(incident:Discovery_Method)」を等記述。Courses_Of_Action対処措置「処措置の状況(coa:Stage)」、「対処措置のタイプ(coa:Type)」を等記述。Exploit_Targets攻撃対象脆弱性のCVE番号（et:CVE_ID）、CWE番号（et:CWE_ID）、CCE番号（et:CCE_ID）、VSS等スコア(et:CVSS_Score)を記述。 これら８つに２つの付属情報フィールドSTIX_Header、Related_Packagesを組み合わせたものをSTIX_PACKAGEといい、STIX_PACKAGEにより脅威情報を記述する。
STIX_PACKAGEではCampaignsフィールドから他のフィールドに下記のようなリンクを貼る事が可能である： +リンク名リンク先Related_IndicatorsIndicatorsRelated_TTPsTTPsRelated_IncidentsIncidentsAssociated_CampaignsCampaignsAttributionsThreat_ActorsRelated_PackagesRelated_Packages
脚注