25、入侵检测与端点安全工具解析

入侵检测与端点安全工具解析

1. IOC 格式与 STIX、TAXII 标准

在信息安全领域，IOC（Indicator of Compromise，入侵指标）的共享和使用至关重要。STIX（Structured Threat Information eXpression）和 TAXII（Trusted Automated eXchange of Indicator Information）是目前用于交换 IOC 的开放标准。不过，STIX 格式在空间效率上表现不佳，例如共享一个 4 字节的 IPv4 地址，需要封装在 4000 字节的 XML 数据中。

STIX 和 TAXII 已在一些开源（http://mng.bz/U0ZK）和商业（http://mng.bz/2E8R）项目中实现。目前，STIX 规范的第 2 版进行了显著简化，采用了 JSON 格式而非 XML，这可能使它在各种安全工具中更易于支持。以下是一个 STIX v2 IOC 的 JSON 格式示例，用于检测 Poison Ivy 后门：

{
    "type": "indicator",
    "id": "indicator--a932fcc6-e032-176c-126f-cb970a5a1ade",
    "labels": [
        "file-hash-watchlist"
    ],
    "name": "File hash for Poison Ivy variant",
    "pattern": "[file:hashes:sha256 = 'ef537f25c895bfa...']"
}