Чтение находок об угрозах
Таблица. Основные поля JSON-находки
| Поле | Значение | Особенности |
|---|---|---|
event_id, event_type, timestamp | Идентификатор, категория и время | Позволяют сопоставить локальную запись и событие у получателя. |
observer | Источник наблюдения | Идентифицирует узел; состав зависит от типа находки. |
source и destination | Участники | У агрегированной находки одно из направлений может не иметь конкретного адреса. |
network и flow | Сеть и сессия | Содержат контекст, когда находка связана с определённой сессией. |
threat | Описание находки | Детектор, подтип, измерение или совпавший индикатор — в зависимости от event_type. |
mitre_attack | Разметка техники | Присутствует для поддерживающих разметку находок; не обязательно для каждого события. |
Не требуйте одинакового набора полей у всех категорий. Например, агрегированное горизонтальное сканирование может не относиться к одной сессии, а IoC-совпадение не обязано содержать severity или разметку ATT&CK. Проверка схемы на стороне получателя должна учитывать эти различия.
Эта страница была полезна?
Спасибо за отзыв!
Спасибо, мы учтём это для улучшения документации.