OpenIOC¶

OpenIOC — это открытый формат описания индикаторов компрометации (Indicators of Compromise, IOC), разработанный компанией Mandiant (ныне подразделение FireEye, входящее в конгломерат Symphony Technology Group). Формат предназначен для стандартизированного обмена данными о киберугрозах между различными системами информационной безопасности, такими как системы обнаружения вторжений (IDS), системы управления информацией и событиями безопасности (SIEM) и средства анализа вредоносного ПО.

¶История

Формат OpenIOC был впервые представлен компанией Mandiant в 2011 году. Основной целью его создания было преодоление разрозненности в представлении данных о киберугрозах. До появления OpenIOC каждая организация использовала собственные, часто несовместимые, способы описания вредоносной активности, что затрудняло коллективную защиту. Mandiant предложила открытую спецификацию, которая позволяла бы описывать не только простые индикаторы (например, IP-адреса или хеши файлов), но и сложные логические конструкции, отражающие поведение атакующего.

В 2014 году Mandiant была приобретена компанией FireEye. В 2021 году FireEye продала свой бизнес по продуктам и услугам в области безопасности, включая права на OpenIOC, консорциуму Symphony Technology Group. Несмотря на смену владельца, формат остаётся открытым и широко используется в сообществе специалистов по кибербезопасности. В 2018 году была выпущена версия 1.1 спецификации, которая уточнила некоторые аспекты синтаксиса и добавила поддержку новых типов данных.

¶Структура и синтаксис

OpenIOC представляет собой XML-документ, который описывает набор индикаторов. Каждый такой документ (файл с расширением .ioc) содержит следующие ключевые элементы:

• Корневой элемент <ioc>: содержит метаданные о документе, включая уникальный идентификатор, дату создания, автора и краткое описание угрозы.
• Элемент <definition>: содержит логическое выражение, описывающее условие, при котором система должна считать объект скомпрометированным. Выражение строится с использованием операторов AND, OR, NOT и их комбинаций.
• Элемент <Indicator>: представляет собой отдельный индикатор, который может быть простым (например, конкретный хеш) или составным (например, «наличие файла с определённым именем И определённым размером»).
• Элемент <Context>: определяет контекст, в котором проверяется индикатор. Контекст может быть связан с файловой системой (FileItem), реестром (RegistryItem), сетевыми соединениями (NetworkItem), процессами (ProcessItem) и другими объектами операционной системы.
• Элемент <Content>: содержит конкретное значение индикатора (например, C:\Windows\system32\malware.exe).
• Атрибуты condition и operator: задают логику сравнения. Например, condition="is" означает точное совпадение, condition="contains" — вхождение подстроки, condition="greater than" — числовое сравнение.

¶Пример простого IOC

``xml <?xml version="1.0" encoding="UTF-8"?> <ioc xmlns="http://schemas.mandiant.com/2010/ioc"; id="12345678-1234-1234-1234-123456789abc" last-modified="2023-10-27T10:00:00Z"> <short_description>Пример индикатора: вредоносный файл</short_description> <definition> <Indicator operator="AND"> <IndicatorItem condition="is" id="item1"> <Context document="FileItem" search="FileItem/FullPath" /> <Content type="string">C:\Users\Public\evil.exe</Content> </IndicatorItem> <IndicatorItem condition="is" id="item2"> <Context document="FileItem" search="FileItem/Md5sum" /> <Content type="md5">d41d8cd98f00b204e9800998ecf8427e</Content> </IndicatorItem> </Indicator> </definition> </ioc> ``

¶Применение

OpenIOC используется в нескольких ключевых областях информационной безопасности:

1. Обнаружение угроз (Detection): Системы SIEM и EDR (Endpoint Detection and Response) могут импортировать IOC-файлы и автоматически проверять конечные точки на наличие описанных индикаторов. Это позволяет быстро выявлять известные вредоносные программы или тактики атакующих.
2. Реагирование на инциденты (Incident Response): Специалисты по реагированию создают IOC на основе анализа конкретного инцидента, чтобы затем проверить другие системы в сети на наличие аналогичных признаков заражения.
3. Обмен данными о угрозах (Threat Intelligence): Организации и исследовательские группы публикуют IOC в открытом доступе или через платные ленты угроз, чтобы предупредить сообщество о новых атаках. Например, многие отчёты о кибератаках содержат раздел с IOC в формате OpenIOC.
4. Анализ вредоносного ПО: При обратной разработке вредоносных программ аналитики могут создавать IOC, описывающие характерные артефакты, такие как ключи реестра, создаваемые файлы или сетевые запросы.

¶Ограничения и критика

Несмотря на широкое распространение, формат OpenIOC имеет ряд недостатков:

• Сложность для сложных сценариев: Создание IOC для описания сложных, многоэтапных атак (например, цепочек kill chain) может быть громоздким и трудночитаемым.
• Зависимость от контекста: Индикаторы, основанные на конкретных путях или именах файлов, могут быть легко изменены злоумышленником, что снижает их эффективность.
• Отсутствие поддержки временных меток: В базовой спецификации нет встроенного механизма для указания временных рамок действия индикатора (например, «этот IP-адрес был активен только в течение 24 часов»).
• Конкуренция с другими форматами: Существуют альтернативные стандарты, такие как STIX (Structured Threat Information Expression) и TAXII (Trusted Automated Exchange of Intelligence Information), которые предлагают более широкие возможности для описания сложных угроз и автоматизации обмена данными. STIX, в частности, является более формализованным и поддерживается международным консорциумом OASIS.

¶Сравнение с другими форматами

¶Инструменты для работы с OpenIOC

Для создания, редактирования и конвертации IOC-файлов используются различные инструменты:

• Mandiant IOC Editor: Бесплатное приложение от Mandiant для создания и редактирования IOC-файлов в графическом интерфейсе.
• PyIOCe: Библиотека на Python для программной работы с OpenIOC, позволяющая создавать, парсить и конвертировать IOC.
• Конвертеры: Существуют утилиты для преобразования IOC в формат YARA, STIX и обратно, что обеспечивает совместимость между различными системами.

¶Источники

1. Mandiant. «OpenIOC: An Open Standard for Sharing Threat Intelligence». White Paper, 2011.
2. FireEye. «OpenIOC 1.1 Specification». Technical Documentation, 2018.
3. OASIS. «STIX Version 2.1. Committee Specification 01». 2021.
4. Википедия. «Indicator of compromise». Статья на английском языке.
5. SANS Institute. «Using OpenIOC for Incident Response and Threat Intelligence». SANS Reading Room, 2015.