1 问题？
守望者发布开源威胁情报feed数据一段时间来，小伙伴们在数据质量上提了不少问题和建议，有小伙伴问：恶意ip-feed文件的各字段格式含义是什么？
2 恶意IP-feed字段说明
-
[+/=]：关联标记，+标记表示该条数据在和昨天的数据对比中是新增的，=标记表示该条数据也同样出现在昨天的数据中；
-
[52.58.120.225]：恶意IP的主体，主要的数据；
-
[2016-05-02 23:14:38]：发现时间，该恶意IP被发现具有恶意企图的时间；
-
[2016-05-02 23:14:38]：终止时间，该恶意IP停止攻击或者从监控系统中消失的时间；
-
[['scanner']]：恶意行为，恶意IP是如何被发现的，例如：scanner表示进行恶意扫描行为；
-
[['ssh']]：协议，在何种协议中发现的恶意IP，例如：ssh表示在ssh协议中发现的，结合恶意行为可判断该恶意IP的操作是：进行了扫描式的恶意SSH登陆尝试；
-
[blocklist.de]：情报源，该条情报的来源；
-
[75]：可信度，该恶意IP的可信度，数值越大表示可信度越高；
-
[AR]：国家，该恶意IP的发现国家代码；
目前恶意IP地址库存在有九个标签字段，可以用来做过滤或者重点检测。
3 样例
=,78.39.252.125,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,IR
+,82.209.49.196,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,CZ
=,78.40.181.45,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,Unknow
=,104.156.239.154,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,US
=,117.102.48.44,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,PK
=,52.87.246.34,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,Unknow
=,178.212.195.54,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,UA
=,74.123.74.209,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,US
=,154.73.28.212,2016-05-0300:34:59,2016-05-03 00:34:59,['proxy'],[],txt.proxyspy.net,75,LY
4 下载方式
关注 守望者实验室 微信公众号；回复关键词“feed”即可获取相关feed文件。
原文始发于微信公众号（守望者实验室）：威胁情报Feed之FAQ (2016/5/5)：恶意ip-feed格式
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论