インシデントオブジェクト記述交換フォーマット

コンピュータ セキュリティに使用されるIODEF ( Incident Object Description Exchange Format ) は、コンピュータ セキュリティ インシデント レスポンス チーム( CSIRT )間で交換する目的でコンピュータ セキュリティ情報を記述するために使用されるデータ形式です。

IODEFメッセージは、機械的な形式ではなく、人間が読める形式で構成されています。形式の詳細はRFC 5070で説明されており、RFC 6685で更新されています。形式のバージョン2はRFC 7970で定義されており、以前のバージョンに取って代わります。このRFCでは、XMLによるデータモデルの実装と関連するDTDが示されています。IODEF v2の詳細な実装ガイダンスは、RFC 8274で定義されています。

IODEFの主な特徴の一つは、侵入検知システム用に開発されたIDMEF侵入検知メッセージ交換フォーマットとの互換性です。このため、IODEFはIDMEFをベースとしており、後方互換性も確保されています。

形式

フォーマットのグラフィカルスキーマ

IODEFはオブジェクト指向の構造化フォーマットで、最初のバージョンでは47のクラスで構成されています。IODEFとIDMEFフォーマットには多くの共通点があります。フィールド構造はIDMEFに類似しており、拡張可能なフォーマットです。IODEFメッセージに関連する任意の情報を追加できる通常の追加データクラスに加えて、ほとんどの列挙型には「ext」フィールドが用意されています。このフィールドは、提案された選択肢がどれも適切でない場合に使用されます。

主なフィールドのリストは次のとおりです。

フィールド名 フィールド数 説明
インシデントID1 IODEF ドキュメントを作成した CSIRT によってこのインシデントに割り当てられたインシデント識別番号。
代替ID0または1 ドキュメントに記載されているインシデントを参照するために他の CSIRT が使用するインシデント ID 番号。
関連アクティビティ0または1 この文書に記載されているインシデントにリンクされているインシデントの ID 番号。
検出時間0または1 インシデントが初めて検出された時刻。
開始時間0または1 インシデントが始まった時刻。
終了時間0または1 事件が終了した時刻。
レポート時間1 インシデントが報告された時刻。
説明0以上 ( ML_STRING) イベントのフォーマットされていないテキストによる説明。
評価0以上 インシデントの影響の特徴。
方法0以上 事件発生時に侵入者が使用した手法。
接触0以上 事件に関係するグループの連絡先情報。
イベントデータ0以上 事件に関係する出来事の説明。
歴史0以上 インシデント管理中に発生したイベントまたは注目すべきアクションのログ。
追加データ0以上 データ モデルを拡張するメカニズム。

IODEFを使用したソフトウェア

  • RFC  5070 – インシデントオブジェクト記述交換フォーマット（IODEF）
  • RFC  6685 – IANA XMLレジストリにおけるインシデントオブジェクト記述交換フォーマット（IODEF）拡張に関する専門家レビュー
  • RFC  7203 – 構造化サイバーセキュリティ情報のためのインシデントオブジェクト記述交換フォーマット（IODEF）拡張
  • RFC  7970 – インシデントオブジェクト記述交換フォーマットバージョン2
  • RFC  8274 – インシデントオブジェクト記述交換フォーマットの使用ガイダンス
「 https://en.wikipedia.org/w/index.php?title=Incident_Object_Description_Exchange_Format&oldid=1266860927」より取得