失陷检测查询接口

接口用途

失陷检测情报（IoC情报）主要用于支持其他安全设备，如安全运营平台（SOC）、流量检测与防护设备（NDR）、终端防护系统（EDR）的消费场景，及时发现内网中被黑客控制的失陷主机，以保障及时响应、遏制和清除。

失陷检测情报（IoC情报）用于匹配出局流量的外联行为作为特征进行匹配研判，可协助发现本地失陷主机，确定恶意类型、风险等级。

接口定义

QueryIOC (query string) *C.char

请求参数

字段	类型	说明	是否必填
query	string	请求query，多个参数可用,分隔	是

响应参数

一级字段	二级字段	三级字段	类型	可选值	说明
errno			int		状态码（详见状态码说明）
msg			string		结果说明
result			map		查询结果
	ioc的值		map		IoC查询结果
		ioc	string		IoC的值
		ioc_detail	map		IoC的详细信息,（包含host和port字段）
		ioc_type	string	标记类型，有FQDN、SLD、URL、IP+PORT	IoC类型
		status	string	ACTIVE（活跃）、INACTIVE（静默）、SINKHOLE（安全机构接管）、UNKNOWN（未知）、DGA（域名生成算法）	IoC状态
		risk	string	critical（严重，如APT、定向攻击、勒索）、high（高，如僵尸网络、黑客攻击、挖矿等）、medium（中，如广告软件）、low（低）	严重等级
		confidence	string	high（高，人工确认过），medium（中，自动确认过），low（低，未确认）	可信度
		malicious_type	int	详见威胁类型对应表	威胁类型
		malicious_family	string		恶意家族
		campaign	string		攻击团伙
		control_type	string		远控类型，General（混合功能远控）、C2（命令控制通道）、Dataleak（数据泄露）、Download（下载恶意软件）
		hot	bool	true（是热点）、false（非热点）	是否是热点
		protocol	string	IoC使用的协议类型，如：HTTPS、TCP等	协议
		tags	array	有价值的标签信息，如：DGA、Sinkhole等特殊标记	标签
		tlp	string		tlp标记位
		first_seen	int		首次发现时间
		last_seen	int		最近发现时间

威胁类型对应表

枚举值	威胁类型	描述
0	APT攻击	高级可持续威胁攻击,也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。
1	勒索软件	对计算机上的信息进行加密。并向用户发出勒索通知，勒索用户购买解密软件或解密密钥，否则数据会永远丢失，以此为条件向用户勒索钱财。
2	挖矿软件	利用感染者的计算机进行挖矿获利。
3	网银木马	用于窃取用户网银、证券等账号的木马。针对网络支付编写的病毒，它利用了第三方支付HTTP网页与网银的衔接认证缺陷，可以危害几乎所有的网络银行与第三方支付的衔接环节，窃取成功率极高，犯罪后极难追查。
4	窃密木马	用于窃取用户主机中敏感文件或数据的木马。
5	黑客工具	黑客工具是黑客用于恶意地远程访问其它计算机的程序。这些类型的程序在任何情况下都会产生威胁，建议保护计算机以防它们的攻击。
6	后门软件	网站后门事件是指黑客在网站的特定目录中上传远程控制页面从而能够通过该页面秘密远程控制网站服务器的攻击事件。
7	僵尸网络	Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序僵尸程序病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络
8	常规木马	常规应用程式中的恶意软件，用于执行恶意活动，例如窃取宝贵数据和用户凭据。
9	矿池数据
99	其它远控	其他的远程控制类型
-1	其它类型	白名单、空等

响应示例

{
    "errno": 2000,
    "msg": "success",
    "result": {
        "a-gwas-01.dyndns.org": {
            "ioc": "a-gwas-01.dyndns.org",
            "ioc_detail": {
                "host": "a-gwas-01.dyndns.org",
                "port": ""
            },
            "ioc_type": "SLD",
            "status": "ACTIVE",
            "risk": "high",
            "confidence": "high",
            "malicious_type": 6,
            "malicious_family": "Faedevour",
            "campaign": "",
            "control_type": "General",
            "hot": false,
            "protocol": "DNS",
            "tags": [],
            "tlp": "",
            "first_seen": 1590277799,
            "last_seen": 1600639508
        }
    }
}