AliyunThreatIntelligence组件主要提供查询阿里云威胁情报功能。
功能描述
动作 | 描述 | 使用场景 |
describeInformation | 查询阿里云威胁情报。 | 查询IP、文件等是否为恶意。 |
组件配置示例
本文提供了ThreatIntelligence组件各动作的参数配置示例，您可将其作为测试剧本导入。通过可视化流程编辑器，能更直观地了解和测试各动作的配置参数，轻松掌握组件的功能逻辑与使用方式。操作步骤可参考剧本导入。
请先将示例数据保存为JSON文件。
参数说明
参数 | 描述 |
entityType | 情报的类型，支持ip、file、domain。 |
entityValue |
|
输出示例
IP类型
输出参数
参数 | 描述 |
Intelligences | 威胁情报事件信息，类型为JSON字符串。该参数JSON字段含义如下：
|
Whois | IP 的 Whois 信息。 |
RequestId | 阿里云为此次调用请求生成的唯一标识符。 |
AttackPreferenceTop5 | 该 IP 攻击目标的 Top 5 行业分布。
|
Confidence | 对判定结果的置信程度。置信度值越高，说明对判定结果（判定结果是 ThreatLevel 字段）越有信心。通常认为置信度大于 90 的结果可以作为精准结果，对于恶意的高威胁等级的指标可以进行拦截。对于正常（ThreatLevel 等于 0）的结果可以放行。 取值范围 0-100：
|
ThreatTypes | 从威胁情报、安全事件分析出来的风险标签，例如远程控制、恶意软件等。该参数类型为JSON字符串，JSON字段含义如下：
|
Scenario | 该 IP 所适用的攻击场景。
|
Ip | IP 的基础信息，该参数类型为JSON字符串。JSON字段含义如下：
|
ThreatLevel | 威胁等级，命中以后造成的危害等级，等级分为高危、中危、低危、正常和未知五个等级。使用的时候可以结合置信度（Confidence 字段）进行判断，对高危且高置信度的数据进行拦截。对于正常（即白名单）的类型可以进行放行。
|
AttackCntByThreatType | 不同攻击阶段的攻击次数。该参数使用 JSON 数组表示，数组中的字段含义说明如下：
|
示例
{
"Context": "",
"Group": "",
"Whois": "",
"AttackCntByThreatType": [
{
"event_cnt": 1,
"threat_type": "应用层入侵"
}
],
"ThreatLevel": -1,
"Confidence": "",
"Ip": {
"country": "",
"province": "",
"city": "",
"ip": "127.0.0.1",
"isp": "",
"asn": "",
"asn_label": ""
},
"ThreatTypes": "",
"Intelligences": [],
"AttackPreferenceTop5": [
{
"event_cnt": 2407,
"industry_name": "物联网",
"gmt_last_attack": "2021-12-15 23:59:15"
},
{
"event_cnt": 4813,
"industry_name": "制造",
"gmt_last_attack": "2021-12-15 23:59:49"
},
{
"event_cnt": 2240,
"industry_name": "金融",
"gmt_last_attack": "2021-12-15 23:59:41"
},
{
"event_cnt": 16954,
"industry_name": "零售",
"gmt_last_attack": "2021-12-15 23:59:31"
},
{
"event_cnt": 28764,
"industry_name": "互联网",
"gmt_last_attack": "2021-12-15 23:59:48"
}
],
"Scenario": ""
}file类型
输出参数
参数 | 描述 |
Intelligences | 威胁情报事件，使用 JSON 数组表示。数组的元素取值包括 DDoS木马、挖矿程序、网络层入侵、网络服务扫描、网络共享发现、矿池 、漏洞利用 、暗网、恶意登录、恶意下载源、中控、Web Shell 、Web 攻击等。 |
RequestI | 阿里云为此次调用请求生成的唯一标识符。 |
FileHash | 文件 Hash 值。 |
ThreatTypes | 从威胁情报、安全事件分析出来的风险标签和服务器标签。使用数组表示，每一个数组中的取值如下：
|
Basic | 基础信息。该参数类型为JSON字符串，JSON字段含义如下：
|
ThreatLevel | 威胁等级。
|
示例
{
"Intelligences": [
"DDoS木马"
],
"RequestId": "3F2BBCA2-4EE5-456F-****-DE0B69CAFD71",
"FileHash": "02e6b7cf0d34c6eac05*****751208b",
"ThreatTypes": [
{
"threat_type_desc": "DDoS木马",
"risk_type": 1,
"threat_type": "DDoS"
}
],
"Basic": {
"sha1": "",
"virus_result": "1",
"sandbox_result": "-1",
"sha256": "",
"sha512": "",
"virus_name": "自变异木马",
"source": "aegis"
},
"ThreatLevel": "2",
"Sandbox": ""
}domain类型
输出参数
参数 | 描述 |
Intelligences | 详细的威胁情报事件。该参数使用 JSON 数组表示，JSON字段含义如下：
|
Domain | 域名。 |
SslCert | 域名绑定的 SSL 证书信息，使用 JSON 串表示。 |
AttackPreferenceTop5 | 被攻击的网站所属的 Top 5 行业。使用 JSON 数组表示，JSON字段含义如下：
|
ThreatTypes | 该域名相关的详细威胁情报数据，使用 JSON 数组表示，每一个数组的字段含义如下：
|
Confidence | 对判定结果的置信程度，置信度值越高，说明判定结果（判定结果是 ThreatLevel 字段）越可信。通常认为置信度大于 90 的结果可以作为精准结果，对于恶意的高威胁等级的指标可以进行拦截。对于正常（ThreatLevel 等于 0）的结果可以放行。 取值范围 60-100：
|
ThreatLevel | 威胁等级，命中以后造成的危害等级，恶意的等级有高危、中危、低危、正常和未知五个等级。使用的时候可以结合置信度（Confidence 字段）来使用，对高危且高置信度的数据进行拦截。对于正常（即白名单）的类型可以进行放行。
|
AttackCntByThreatType | 不同攻击阶段的攻击次数。该参数使用 JSON 数组表示，数组中的字段含义说明如下：
|
Whois | 域名的 Whois 信息。 |
RequestId | 阿里云为此次调用请求生成的唯一标识符。 |
Scenario | 该域名所适用的攻击场景。可以取以下的一个或者多个值：
|
Basic | 域名的基础信息，该参数使用 JSON 格式表示，字段含义如下：
|
示例
{
"Intelligences": [
{
"last_find_time": "2020-06-17 03:54:23",
"threat_type_l2": "恶意下载源",
"first_find_time": "2020-01-01 00:59:52",
"source": "aliyun"
},
{
"last_find_time": "2020-11-10 14:45:12",
"threat_type_l2": "rexxx.exe执行恶意文件",
"first_find_time": "2017-09-22 11:15:00",
"source": "aliyun"
}
],
"Domain": "example.com",
"SslCert": {
"serial_number": "183954751680****4",
"validity_end": "2029-12-02 06:00:31",
"issuer": "example.ca"
},
"AttackPreferenceTop5": "[{\"event_cnt\":586,\"industry_name\":\"Gaming\",\"gmt_last_attack\":\"2020-06-14 21:54:04\"}]",
"ThreatTypes": [
{
"threat_type_desc": "恶意下载源",
"last_find_time": "2020-06-17 03:54:23",
"risk_type": 3,
"scenario": "失陷指标",
"threat_type": "Malicious Source",
"first_find_time": "2020-01-01 00:59:52",
"attck_stage": "delivery"
},
{
"threat_type_desc": "Regsvr32执行",
"last_find_time": "2020-11-10 14:45:12",
"risk_type": 3,
"scenario": "失陷指标",
"threat_type": "Regsvr32",
"first_find_time": "2017-09-22 11:15:00",
"attck_stage": "defense evasion"
}
],
"Confidence": "95",
"ThreatLevel": "2",
"AttackCntByThreatType": {
"event_cnt": 27,
"threat_type": "网络层入侵"
},
"Context": "",
"Whois": {
"registrant_phone": "",
"registrar": "xx科技有限公司",
"registrar_url": "",
"whois_server": "whois.cnnic.cn",
"admin_phone": "",
"registrar_phone": "",
"registrant_email": "",
"admin_email": "",
"admin_organization": "",
"tech_name": "",
"registrant_city": "",
"tech_street": "",
"tech_phone": "",
"dnssec": "unsigned",
"admin_province": "",
"tech_organization": "",
"registrant_country": "",
"admin_city": "",
"registrant_province": "",
"admin_street": "",
"tech_email": "",
"nameservers": "ns4.myhostadmin.net,ns1.myhostadmin.net,ns2.myhostadmin.net,ns3.myhostadmin.net,ns5.myhostadmin.net,ns6.myhostadmin.net",
"registrar_email": "",
"domain_status": "ok",
"domain": "example.com",
"tech_city": "",
"registrant_name": "",
"registrant_organization": "",
"tech_country": "",
"registrant_street": "",
"admin_name": "",
"tech_province": "",
"admin_country": ""
},
"RequestId": "718747A4-9A75-4130-88F9-C9B47350B7F5",
"Scenario": "失陷指标",
"Basic": {
"ip_cnt": "36",
"domain": "example.com",
"child_domain_cnt": "18",
"sld_domain": "example.com",
"malicious_ip_cnt": "28",
"malicious_child_domain_cnt": "4"
},
"Group": ""
}