侵害指標（IOC）の分析方法
IOCを分析するための実践的なワークフロー：種類の特定、正規化とデファング、脅威インテリジェンスとの照合、「レコードなし」を「安全」と扱う罠の回避。
クイックアンサー
侵害指標（IOC）はIP、ドメイン、URL、メールアドレス、ファイルハッシュなど、悪性の活動を示す可能性のある観測可能なアーティファクトです。「レコードなし」の安易な結論に対抗するには、脅威インテリジェンスのソースで検証することが必要です。
定義
IOC分析とは、観測可能なアーティファクトを分類、正規化し、脅威インテリジェンスと照合して、既知の悪性活動との関連があるかどうかを判断するプロセスです。
最初に答える
指標を分類し、正規化/デファングし、インテリジェンスと照合し、「レコードなし」が安全を意味すると決して想定しない。
1. 種類の特定
値はIPアドレス、ドメイン、URL、メールアドレス、またはファイルハッシュ（MD5/SHA-1/SHA-256）であり得ます。種類を認識することで、どのソースが関連するかが分かります。
2. 正規化とデファング
大文字小文字を正規化し、デファングを解除します（例: evil[.]example[.]comをevil.example.comに置き換える）。プレーンテキストで共有する場合は、うっかりクリックしないよう常にデファングしたコピーで作業してください。
3. 脅威インテリジェンスの照合
値を脅威インテリジェンスフィードとOpenTrojanナレッジベースで調べます。既知のファミリーの帰属、関連キャンペーン、公開された参照を探します。
4. 正直に解釈する
正当に見える値でもレコードがない場合は、確認済みの安全ではありません。未確認です。追跡可能なソースがある確認済みのマッチのみを報告し、常に注意書きを添えてください。
5. ループを続ける
確認済みのマッチについては、関連インテリジェンスをエンティティまでたどり、証拠を読み、調査を開始します。