Requisitos do arquivo IOC

Ao criar tarefas de Verificação IOC, considere os seguintes requisitos e limitações do arquivo IOC:

O aplicativo é compatível com arquivos IOC com as extensões IOC e XML no padrão aberto OpenIOC versões 1.0 e 1.1 para descrever indicadores de comprometimento.
Se, ao criar uma tarefa de Verificação de IOC na linha de comando, você carregar arquivos IOC, alguns dos quais não são compatíveis, quando a tarefa for executada, o aplicativo usará somente os arquivos IOC compatíveis. Se, ao criar uma tarefa de Verificação IOC na linha de comando, todos os arquivos IOC carregados não forem compatíveis, a tarefa ainda poderá ser executada, mas não detectará nenhum indicador de comprometimento. Não é possível fazer upload de arquivos IOC não compatíveis usando o Web Console ou o Cloud Console.
Erros semânticos e termos e tags IOC não compatíveis em arquivos IOC não causam falha na execução da tarefa. Em tais seções de arquivos IOC, o aplicativo não detecta nenhuma correspondência.
Os identificadores de todos os arquivos IOC usados em uma única tarefa de Verificação IOC devem ser exclusivos. Se houver arquivos IOC com o mesmo identificador, isso poderá afetar os resultados da execução da tarefa.
Um único arquivo IOC não deve exceder 2 MB de tamanho. O uso de arquivos maiores fará com que as tarefas de Verificação de IOC sejam encerradas com um erro. O tamanho total de todos os arquivos adicionados à coleção IOC não deve exceder 10 MB. Se o tamanho total de todos os arquivos exceder 10 MB, será necessário dividir a coleção de IOC e criar várias tarefas de Verificação de IOC.
Recomenda-se criar um arquivo IOC por ameaça. Isso facilita a análise dos resultados da tarefa de Verificação de IOC.

Os recursos e limitações do suporte do aplicativo para o padrão OpenIOC são mostrados na tabela a seguir.

Recursos e limitações do suporte para OpenIOC versão 1.0 e 1.1.

Condições compatíveis	OpenIOC 1.0: `is` `isnot` (como uma exceção do conjunto) `contains` `containsnot` não (como uma exceção do conjunto) OpenIOC 1.1: `is` `contains` `starts-with` `ends-with` `matches` `greater-than` `less-than`
Atributos de condição compatíveis	OpenIOC 1.1: `preserve-case` `negate`
Operadores compatíveis	`AND` `OR`
Tipos de dados compatíveis	`"date"`: data (condições aplicáveis: `is`, `greater-than`, `less-than`) `"int"`: integral (condições aplicáveis: `is`, `greater-than`, `less-than`) `"string"`: string (condições aplicáveis: `is`, `contains`, `matches`, `starts-with`, `ends-with`) `"duration"`: duração em segundos (condições aplicáveis: `is`, `greater-than`, `less-than`)
Recursos de interpretação de tipo de dados	Os tipos de dados `"boolean string"`, `"restricted string"`, `"md5"`, `"IP"`, `"sha256"`, `"base64Binary"` são interpretados como string. O aplicativo é compatível com a interpretação do ajuste de `Content` para os tipos de dados `int` e `date` quando são definidos na forma de intervalos: OpenIOC 1.0: Usando o operador `TO` no campo `Content`: `<Content type="int">49600 TO 50700</Content>` `<Content type="date">2009-04-28T10:00:00Z TO 2009-04-28T16:00:00Z</Content>` `<Content type="int">[154192 TO 154192]</Content>` OpenIOC 1.1: Usando as condições `greater-than` e `less-than` Usando o operador `TO` no campo `Content` O aplicativo é compatível com a interpretação dos tipos de dados de `date` e `duration` se os indicadores estiverem configurados no formato `ISO 8601`, `Zulu Time Zone` e `UTC`.

Topo da página