iocx-dev/iocxРасширяемый детерминированный движок статического анализа, извлекающий высокосигнальные IOC из PE-файлов и текста, созданный для автоматизации SOC и современных конвейеров анализа угроз.
Статическое извлечение IOC из PE-файла с помощью IOCX CLI
Это оригинальный движок IOCX для детерминированного статического извлечения IOC и анализа PE. Любые другие репозитории, использующие имя "iocx", не связаны с этим проектом.
Официальные ссылки:
Современное вредоносное ПО по умолчанию является состязательным — искажённым, уклончивым и спроектированным так, чтобы ломать наивные экстракторы.
IOCX создан для сред, где корректность и детерминизм действительно имеют значение.
IOCX — это официальный движок статического извлечения IOC — детерминированная система, учитывающая бинарный формат, созданная для DFIR, автоматизации SOC, безопасности CI/CD и крупномасштабных конвейеров threat-intel.
В отличие от экстракторов, основанных только на регулярных выражениях, или инструментов, зависящих от песочницы, IOCX выполняет:
Это ключевой компонент экосистемы MalX Labs для масштабируемого современного анализа угроз.
echo "http://malicious.example" | iocx -
Или безопасно просканируйте PE-файл:
iocx suspicious.exe -a deep
Команды безопасности сталкиваются с тремя постоянными проблемами:
IOCX решает это с помощью детерминированного движка, работающего только статически, спроектированного для автоматизации, безопасности и масштаба.
IOCX намеренно не является:
Он никогда не выполняет недоверенный код. Он никогда не выполняет динамический анализ. Он по своей конструкции работает только статически — ради безопасности, детерминизма и совместимости с CI/CD.
IOCX спроектирован для реалий современного вредоносного ПО, а не для допущений устаревших инструментов.
Стабильный, воспроизводимый вывод — без случайности, без волатильности.
Выполнение небезопасно. Статический анализ предсказуем, масштабируем и удобен для CI.
Искажённые PE, повреждённые RVA, враждебные строки — IOCX воспринимает их как обычные входные данные.
Нижестоящие системы никогда не должны ломаться при обновлении.
150–300 МБ/с на сыром тексте. 6–15 МБ/с на типичных PE. Предсказуемость даже при наихудшей состязательной нагрузке.
Эти обязательства основаны на опубликованной исследовательской методологии структурного анализа PE — детерминированное построение фикстур, дисциплина единичной аномалии и поведение загрузчика Windows в качестве оракула корректности. Полную методологию см. в docs/methodology.md, а более широкую таксономию состязательных PE и коммерческий набор фикстур — на paax.dev.
| Возможность | IOCX | Типичные экстракторы IOC | Песочницы / динамические инструменты |
|---|---|---|---|
| Безопасность | Нулевое выполнение, только статика | Только регулярные выражения, без бинарной безопасности | Выполняет недоверенный код (высокий риск) |
| Детерминизм | Полностью детерминированный вывод | Недетерминирован при шуме | Недетерминирован по своей природе |
| Учёт бинарного формата | Полный разбор PE, эвристики | Нет поддержки бинарных форматов | Да, но небезопасно и медленно |
| Устойчивость к состязательным данным | Протестирован на искажённых PE, враждебных строках | Легко обходится | Часто падает или неверно классифицирует |
| Производительность | 150–300 МБ/с (текст), 6–15 МБ/с (PE) | Крайне изменчива | Чрезвычайно медленно |
| Дружелюбность к CI/CD | Да — безопасно, детерминированно, быстро | Частично | Нет — небезопасно для конвейеров |
| Стабильность схемы | Гарантирована | Редко | Отсутствует |
Коротко: IOCX создан для реальной состязательной действительности, а не для идеализированных входных данных.
150–300 МБ/с устойчивой пропускной способности Быстрый путь — без разбора PE.
| Детектор | Время на 1 МБ | Пропускная способность |
|---|---|---|
| Crypto | 0.0037 с | ~270 МБ/с |
| Filepaths | 0.0041 с | ~250 МБ/с |
| IP | 0.0065 с | ~156 МБ/с |
| Domains | 0.0035 с | ~300 МБ/с |