IOC情报相关字段

字段名	类型	取值范围	说明	备注
ioc	string	-	IoC的值	IoC的唯一标识
ioc_detail	map	host, port	IoC的详细信息	标识一个IoC，参照url标准, host：IoC的值，如ip、domain、url等, port：端口, 取值顺序为host、port
ioc_type	string	FQDN, SLD, URL, IP+PORT	IoC类型	标记IoC的类型
status	string	ACTIVE, INACTIVE, SINKHOLE, UNKNOWN, DGA	IoC状态	标识IoC状态, ACTIVE：活跃, INACTIVE：静默, SINKHOLE：安全机构接管
risk	string	critical：严重（如APT、定向攻击、勒索）, high：高（如僵尸网络、黑客攻击、挖矿等）, medium：中（如广告软件）, low：低	严重等级	-
confidence	string	high：高（人工确认过）, medium：中, low：低, unknown：未知	可信度	-
malicious_type	int	详见威胁类型对应表	威胁类型	-
malicious_family	string	-	恶意家族	-
campaign	string	-	攻击团伙	-
control_type	string	General：混合功能远控, C2：命令控制通道, Dataleak：数据泄露, Download：下载恶意软件	远控类型	-
hot	bool	true：是热点, false：非热点	是否是热点	-
protocol	string	如：HTTPS、TCP等	协议	IoC使用的协议类型
tags	array	-	标签	有价值的标签信息，如：DGA、Sinkhole等特殊标记
tlp	string	-	tlp标记位	-
first_seen	int	-	首次发现时间	-
last_seen	int	-	最近发现时间	-

威胁类型说明表

枚举值	威胁类型	描述
0	APT攻击	高级可持续威胁攻击,也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。
1	勒索软件	对计算机上的信息进行加密。并向用户发出勒索通知，勒索用户购买解密软件或解密密钥，否则数据会永远丢失，以此为条件向用户勒索钱财。
2	挖矿软件	利用感染者的计算机进行挖矿获利。
3	网银木马	用于窃取用户网银、证券等账号的木马。针对网络支付编写的病毒，它利用了第三方支付HTTP网页与网银的衔接认证缺陷，可以危害几乎所有的网络银行与第三方支付的衔接环节，窃取成功率极高，犯罪后极难追查。
4	窃密木马	用于窃取用户主机中敏感文件或数据的木马。
5	黑客工具	黑客工具是黑客用于恶意地远程访问其它计算机的程序。这些类型的程序在任何情况下都会产生威胁，建议保护计算机以防它们的攻击。
6	后门软件	网站后门事件是指黑客在网站的特定目录中上传远程控制页面从而能够通过该页面秘密远程控制网站服务器的攻击事件。
7	僵尸网络	Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络
8	常规木马	常规应用程式中的恶意软件，用于执行恶意活动，例如窃取宝贵数据和用户凭据。
9	矿池数据	-
99	其它远控	其他的远程控制类型
999	空	预留
1000	三方定义	第三方源定义的威胁类型