IOC 文件的要求
创建 IOC 扫描任务时,请考虑以下IOC 文件要求和限制:
- 应用程序支持具有 IOC 和 XML 扩展名的 IOC 文件。这些文件使用开放标准进行 IOC 描述 - OpenIOC 版本 1.0 和 1.1。
- IOC 文件中的语义错误和不受支持的 IOC 术语和标签不会导致任务失败。对于 IOC 文件的此类部分,应用程序会记录不存在匹配项。
- IOC 扫描任务中使用的所有 IOC 文件的 ID必须是唯一的。重复的 ID 可能会影响任务结果的正确性。
- 我们建议为每个威胁创建一个 IOC 文件。这使得IOC 扫描任务的结果更易于阅读。
单击下面的链接即可下载该文件,其中包含 OpenIOC 标准的 IOC 术语完整列表。
下载 IOC_TERMS.XLSX
下表列出了应用程序支持 OpenIOC 标准方式的特殊考虑和限制。
OpenIOC 标准版本 1.0 和 1.1 的功能和限制
支持的条件
|
OpenIOC 1.0:
is
isnot (作为集合排除项)
contains
containsnot (作为集合排除项)
OpenIOC 1.1:
is
contains
starts-with
ends-with
matches
greater-than
less-than |
支持的条件属性
|
OpenIOC 1.1:
|
支持的运算符
|
AND
OR
|
支持的数据类型
|
"date" : 日期(适用条件:is ,greater-than ,less-than )
"int" :整数(适用条件:is ,greater-than ,less-than )
"string" : string(适用条件:is 、contains 、matches 、starts-with 、ends-with )
“duration” :持续时间(以秒为单位)(适用术语:is 、greater-than 、less-than )
|
解释数据类型的特殊注意事项
|
"boolean string" 、"restricted string" 、"md5" 、"IP" , "sha256" 、"base64Binary" 数据类型被解释为字符串。
应用程序支持解释被指定为间隔的int 和date 数据类型的Content 参数:
- OpenIOC 1.0:
在Content 字段中使用TO 运算符:
<Content type="int">49600 TO 50700</Content>
<Content type="date">2009-04-28T10:00:00Z TO 2009-04-28T16:00:00Z</Content>
<Content type="int">[154192 TO 154192]</Content>
- OpenIOC 1.1:
- 使用
greater-than 和less-than 条件
- 在
Content 字段中使用TO 运算符
如果指标以ISO 8601、祖鲁时区、UTC 格式指定,则应用程序支持date 和duration 数据类型的解释。 |
页面顶部