附录 10.IOC 文件需求

当创建 IOC 扫描任务时，考虑以下 IOC 文件需求和限制：

• 该应用程序支持开放标准 OpenIOC 版本 1.0 和 1.1 中具有 IOC 和 XML 扩展名的 IOC 文件，用于描述妥协的指标。
• 如果在命令行创建一个 IOC 扫描任务，则您上传 IOC 文件（其中一些文件不受支持），则当任务运行时，应用程序仅使用受支持的 IOC 文件。如果在命令行创建一个 IOC 扫描任务，你上传的所有 IOC 文件都不受支持，任务仍然可以运行，但它不会检测到任何泄露迹象。无法使用 Web 控制台或云控制台上传不受支持的 IOC 文件。
• 语义错误和 IOC 文件中不支持的 IOC 术语和标记不会导致任务执行失败。在 IOC 文件的这些部分中，应用程序检测不到匹配。
• 单个 IOC 扫描任务中使用的所有 IOC 文件的标识符必须是唯一的。如果存在具有相同标识符的 IOC 文件，则可能会影响任务执行结果。

  IOC 文件标识符示例：

  <ioc xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" id="43e6a866-4f85-4ce2-a369-eabf786ba711" last-modified="2019-05-09T11:08:38" xmlns="http://schemas.mandiant.com/2010/ioc">

• 单个 IOC 文件的大小不得超过 2 MB。使用较大的文件将导致 IOC 扫描任务因错误而终止。添加到 IOC 集合的所有文件的总大小不能超过 10 MB。如果所有文件的总大小超过 10 MB，您需要拆分 IOC 集合并创建多个“IOC 扫描”任务。
• 建议为每个威胁创建一个 IOC 文件。这使得分析“IOC 扫描”任务的结果更加容易。

您可以通过单击下面的链接下载该文件，该文件包含一个表，其中包含 OpenIOC 标准的 IOC 术语的完整列表。

下载 IOC_TERMS.XLSX 文件

下表显示了应用程序支持 OpenIOC 标准的特性和限制。

OpenIOC 版本 1.0 和 1.1 的功能和支持限制。

支持条件	OpenIOC 1.0： is isnot（作为集合中的例外） contains containsnot（作为集合中的例外） OpenIOC 1.1： is contains starts-with ends-with matches greater-than less-than
支持的条件属性	OpenIOC 1.1： preserve-case negate
支持的运算符	AND OR
支持的数据类型	"date"：日期（适用条件：is、greater-than、less-than） "int"：整数（适用条件：is、greater-than、less-than） "string"：字符串（适用条件：is、contains、matches、starts-with、ends-with） "duration"：持续秒数（适用条件：is、greater-than、less-than）
数据类型解释的特点	"boolean string", "restricted string", "md5", "IP", "sha256"和"base64Binary"数据类型被解释为字符串。 当 int 和 date 数据类型以间隔形式设置时，应用程序支持对其 Content 设置的解释： OpenIOC 1.0： 在 Content 字段使用 TO 运算符： <Content type="int">49600 TO 50700</Content> <Content type="date">2009-04-28T10:00:00Z TO 2009-04-28T16:00:00Z</Content> <Content type="int">[154192 TO 154192]</Content> OpenIOC 1.1： 使用 greater-than 和 less-than 条件 在 Content 字段使用 TO 运算符 应用程序支持对“date”和“duration”数据类型的解释，如果标志设置了“ISO 8601, Zulu time zone, UTC”格式。

页面顶部