Anhang 10. Anforderungen für IOC-Dateien

Beachten Sie bei der Erstellung von IOC-Untersuchungsaufgaben die folgenden Anforderungen und Beschränkungen für IOC-Dateien:

Für die Beschreibung von Kompromittierungsindikatoren unterstützt das Programm IOC-Dateien mit den IOC- und XML-Erweiterungen im offenen OpenIOC-Standard Version 1.0 und 1.1.
Wenn Sie über die Befehlszeile eine Aufgabe des Typs IOC-Untersuchung erstellen und dabei IOC-Dateien hochladen, von denen einige nicht unterstützt werden, verwendet das Programm bei der Ausführung der Aufgabe nur die unterstützten IOC-Dateien. Wenn Sie über die Befehlszeile eine Aufgabe IOC-Untersuchung erstellen und alle dabei hochgeladenen IOC-Dateien nicht unterstützt werden, kann die Aufgabe zwar ausgeführt werden, es werden jedoch keine Kompromittierungsindikatoren erkannt. Das Hochladen von nicht unterstützten IOC-Dateien über „Web Console“ oder „Cloud Console“ ist nicht möglich.
Semantische Fehler und nicht unterstützte IOC-Ausdrücke und Tags führen nicht zu einem Fehlschlagen der Aufgabe. In solchen Fällen findet das Programm in den entsprechenden Abschnitten der IOC-Datei lediglich keine Übereinstimmung.
Die Identifikatoren aller IOC-Dateien, die in einer einzelnen IOC-Untersuchungsaufgabe verwendet werden, müssen eindeutig sein. Das Vorhandensein von IOC-Dateien mit dem gleichen Identifikator kann sich auf die Ergebnisse der Aufgabenausführung auswirken.
Beispiel für den Identifikator einer IOC-Datei:

<ioc xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" id="43e6a866-4f85-4ce2-a369-eabf786ba711" last-modified="2019-05-09T11:08:38" xmlns="http://schemas.mandiant.com/2010/ioc">
Eine einzelne IOC-Datei darf nicht größer sein als 2 MB. Die Verwendung größerer Dateien führt dazu, dass IOC-Untersuchungsaufgaben mit einem Fehler abgebrochen werden. Die Gesamtgröße aller zur IOC-Sammlung hinzugefügten Dateien darf 10 MB nicht überschreiten. Wenn die Gesamtgröße aller Dateien 10 MB überschreitet, müssen Sie die IOC-Sammlung aufteilen und mehrere Aufgaben IOC-Untersuchung erstellen.
Es wird empfohlen, eine IOC-Datei pro Bedrohung zu erstellen. Dadurch können die Ergebnisse der Aufgabe IOC-Untersuchung einfacher analysiert werden.

Die Datei, die Sie über den unten stehenden Link herunterladen können, enthält eine Tabelle mit einer vollständigen Liste der IOC-Bedingungen gemäß OpenIOC-Standard.

DATEI IOC_TERMS.XLSX HERUNTERLADEN

Die folgende Tabelle enthält die Merkmale und Beschränkungen der Unterstützung des OpenIOC-Standards durch das Programm.

Merkmale und Beschränkungen der Unterstützung für OpenIOC Version 1.0 und 1.1.

Unterstützte Bedingungen	OpenIOC 1.0: `is` `isnot` (als Ausnahme vom Set) `contains` `containsnot` (als Ausnahme vom Set) OpenIOC 1.1: `is` `contains` `starts-with` `ends-with` `matches` `greater-than` `less-than`
Unterstützte Attribute von Bedingungen	OpenIOC 1.1: `preserve-case` `negate`
Unterstützte Operatoren	`AND` `OR`
Unterstützte Datentypen	`"date"`: Datum (zulässige Bedingungen: `is`, `greater-than`, `less-than`) `"int"`: Integer (zulässige Bedingungen: `is`, `greater-than`, `less-than`) `"string"`: String (zulässige Bedingungen: `is`, `contains`, `matches`, `starts-with`, `ends-with`) `"duration"`: Dauer in Sekunden (zulässige Bedingungen: `is`, `greater-than`, `less-than`)
Merkmale der Interpretation von Datentypen	Die Datentypen `"boolean string"`, `"restricted string"`, `"md5"`, `"IP"`, `"sha256"` und `"base64Binary"` werden als String interpretiert. Das Programm unterstützt die Einstellung `Content` für die Datentypen `int` und `date`, wenn diese in Intervallform angegeben ist: OpenIOC 1.0: Verwendung des Operators `TO` im Feld `Content`: `<Content type="int">49600 TO 50700</Content>` `<Content type="date">2009-04-28T10:00:00Z TO 2009-04-28T16:00:00Z</Content>` `<Content type="int">[154192 TO 154192]</Content>` OpenIOC 1.1: Verwendung der Bedingungen `greater-than` und `less-than` Verwendung des Operators `TO` im Feld `Content` Die App unterstützt die Interpretation der Datentypen `date` und `duration`, wenn die Indikatoren das Format `ISO 8601, Zulu time zone, UTC` haben.

Nach oben