如何分析失陷指标（IOC）

先给答案

对指标分类、规范化/失效化（defang）、对照情报检查，并且绝不要假设”无记录”就是安全。

1. 识别类型

一个值可以是 IP 地址、域名、URL、邮箱地址或文件哈希（MD5/SHA-1/SHA-256）。识别类型告诉你哪些来源相关。

2. 规范化与失效化

规范化大小写并去除失效化（例如，将 evil[.]example[.]com 替换为 evil.example.com）。以纯文本分享时始终使用失效化副本，以避免意外点击。

3. 检查威胁情报

在威胁情报源与 OpenTrojan 知识库中查询该值。寻找已知家族归属、相关活动与已发布的参考资料。

4. 诚实解读

看起来合法但无记录的值并非确认安全——它只是未经确认。只报告有可追溯来源的确认匹配，并始终加上警示说明。

5. 继续循环

对于确认的匹配，沿相关情报追踪到实体，阅读证据，并启动调查。

有帮助的工具

• IOC 查询 — 检测、规范化并检查指标。
• 哈希检查器 — 识别并检查文件哈希。
• URL 分析器 — 本地检查 URL 结构。