Requisiti del file IOC

Quando si creano attività di scansione IOC, considerare i seguenti requisiti e limitazioni del file IOC:

L'applicazione supporta i file IOC con le estensioni IOC e XML nelle versioni OpenIOC standard aperte 1.0 e 1.1 per la descrizione degli indicatori di compromissione.
Se durante la creazione di un'attività di scansione IOC nella riga di comando si caricano file IOC, alcuni dei quali non sono supportati, quando l'attività viene eseguita, l'applicazione utilizza solo i file IOC supportati. Se, durante la creazione di un'attività di scansione IOC nella riga di comando, tutti i file IOC caricati risultano non supportati, l'attività può ancora essere eseguita, ma non rileverà alcun indicatore di compromissione. Non è possibile caricare file IOC non supportati utilizzando Web Console o Cloud Console.
Gli errori semantici e i termini e i tag IOC non supportati nei file IOC non determinano l'esito negativo dell'esecuzione dell'attività. In tali sezioni dei file IOC, l'applicazione non rileva alcuna corrispondenza.
Gli identificatori di tutti i file IOC utilizzati in una singola attività di scansione IOC devono essere univoci. Se sono presenti file IOC con lo stesso identificatore, ciò potrebbe influire sui risultati dell'esecuzione dell'attività.
Un singolo file IOC non deve superare le dimensioni di 2 MB. Se si utilizzano file di dimensioni maggiori le attività di scansione IOC termineranno con un errore. La dimensione totale di tutti i file aggiunti alla raccolta IOC non deve superare i 10 MB. Se la dimensione totale di tutti i file supera i 10 MB, è necessario dividere la raccolta IOC e creare diverse attività di Scansione IOC.
Si consiglia di creare un file IOC per minaccia. Ciò semplifica l'analisi dei risultati dell'attività di Scansione IOC.

Le caratteristiche e le limitazioni del supporto dell'applicazione per lo standard OpenIOC vengono mostrate nella tabella seguente.

Caratteristiche e limitazioni del supporto per OpenIOC versione 1.0 e 1.1.

Condizioni supportate	OpenIOC 1.0: `is` `isnot` (come eccezione rispetto al set) `contiene` `containsnot` (come eccezione rispetto al set) OpenIOC 1.1: `is` `contiene` `starts-with` `ends-with` `corrispondenze` `greater-than` `less-than`
Attributi della condizione supportati	OpenIOC 1.1: `preserve-case` `negate`
Operatori supportati	`AND` `OR`
Tipi di dati supportati	`"date"`: data (condizioni applicabili: `is`, `greater-than`, `less-than`) `"int"`: numero intero (condizioni applicabili: `is`, `greater-than`, `less-than`) `"string"`: stringa (condizioni applicabili: `is`, `contains`, `matches`, `starts-with`, `ends-with`) `"duration"`: durata in secondi (condizioni applicabili: `is`, `greater-than`, `less-than`)
Caratteristiche dell'interpretazione del tipo di dati	I tipi di dati `"boolean string"`, `"restricted string"`, `"md5"`, `"IP"`, `"sha256"`, `"base64Binary"` vengono interpretati come stringa. L'applicazione supporta l'interpretazione dell'impostazione `Content` per i tipi di dati `int` e `date` quando è impostata sotto forma di intervalli: OpenIOC 1.0: Utilizzando l'operatore `TO` nel campo `Content`: `<Content type="int">49600 TO 50700</Content>` `<Content type="date">2009-04-28T10:00:00Z TO 2009-04-28T16:00:00Z</Content>` `<Content type="int">[154192 TO 154192]</Content>` OpenIOC 1.1: Utilizzo delle condizioni `greater-than` e `less-than` Utilizzo dell'operatore `TO` nel campo `Content` L'applicazione supporta l'interpretazione dei tipi di dati di `datу` e `duration` se gli indicatori sono impostati in formato `ISO 8601`, `Zulu Time Zone`, `UTC`.

Inizio pagina