Атрибуты для сопоставления

Таблица. Параметры iocAttributes в analyser.json

ПараметрЗначенияНазначение и особенности

enabled

false

Главный выключатель передачи атрибутов.

domain

true

DNS-имена, SNI TLS и QUIC, HTTP Host.

url

true

URL из HTTP, HTTP/2 и ICAP.

ip

false при отсутствии

Адреса из DNS A и AAAA; не все адреса сетевых сессий.

cookies, userAgent, email

false

Дополнительные атрибуты; включайте при наличии соответствующих индикаторов.

ja3, ja4

true

Отпечатки клиента.

ja3s, ja4s, ja4x, ja4xs

false

Дополнительные отпечатки сторон и сертификатов.

certSha1, certSha1s

false

Хэши сертификатов.

ja4h, ja4ssh

false

Отпечатки HTTP и SSH.

hassh, hasshServer, sshBanner

false

SSH-атрибуты.

fileHash.md5, fileHash.sha256

true

Хэши собираемых файлов.

fileHash.sha1, sha512, tlsh, ssdeep

false

Дополнительные хэши в объекте fileHash.

Сопоставление IoC выполняется по точному совпадению значения; IP-подсети CIDR здесь не поддерживаются. Для проверки IP участников сеансов удалённого доступа существует отдельный механизм rat_ioc. Не ожидайте, что включение iocAttributes.ip автоматически проверит все IP-адреса всего трафика.

  1. Включите и проверьте источник secFeeds.

  2. В analyser.json установите iocAttributes.enabled: true и оставьте нужные типы атрибутов.

  3. Перечитайте sensor-identity и sensor-analyser.

  4. На согласованной контрольной записи проверьте совпадение известного значения с тестовым источником.

  5. Найдите находку ti_match в threats.log и проверьте её получение внешней системой.

Пустой журнал не является доказательством исправного сопоставления: возможно, индикаторы не загрузились, тип атрибута выключен или в трафике не было нужного значения. Проверяйте все три условия по отдельности.