IOC Extraction Tools

Définition

L'extraction automatique d'IOCs (Indicators of Compromise) consiste à parser des rapports de threat intelligence, des logs d'investigation, des rapports d'analyse de malwares, et d'autres sources textuelles pour en extraire automatiquement les indicateurs de compromission structurés : adresses IP, noms de domaine, URLs, hashes de fichiers (MD5, SHA-1, SHA-256), emails, et autres données pertinentes. Cette automatisation accélère considérablement le partage et le déploiement des IOCs dans les défenses. ioc_parser est un outil Python open source (Armin Buescher) qui extrait les IOCs de documents PDF, textes bruts, et pages HTML. Il utilise des expressions régulières pour identifier les patterns d'IOC courants (IPv4, IPv6, domaines, URLs, hashes en différentes longueurs) et produit en sortie des formats structurés (CSV, JSON, OpenIOC, STIX). PyIOCe et IOCEXTRACT sont des outils similaires. CyBox (Cyber Observable eXpression) et STIX (Structured Threat Information eXpression) sont les standards de représentation structurée des IOCs pour le partage machine-readable. TAXII (Trusted Automated eXchange of Intelligence Information) est le protocole de transport de ces informations entre organisations et plateformes. La maîtrise de ces standards est nécessaire pour l'intégration des IOCs extraits dans les TIPs et SIEMs. Les TIPs modernes (MISP, OpenCTI) incluent des fonctionnalités d'import automatique depuis de nombreuses sources : texte brut (PDF de rapport), URLs de feeds automatiques, API de partenaires. MISP possède des modules de collecte (ZMQ, email ingestion) qui peuvent extraire automatiquement les IOCs depuis des emails entrants de sharing groups. Pour les investigateurs, l'extraction d'IOCs en fin d'investigation permet de produire rapidement un package de partage : les IOCs extraits de l'investigation (hashs des malwares identifiés, IPs C2, domaines C2, noms de fichiers caractéristiques, clés de registre créées) sont exportés en STIX 2.0, importés dans MISP, et partagés avec les organisations partenaires pour une détection rapide dans leurs environnements.