如何解读 IOC 查询结果 — 记录（或无记录）意味着什么
如何正确阅读 IOC 查询结果：匹配记录意味着什么、无记录意味着什么、误报、置信度，以及何时升级为完整调查。绝不要将指标查询视为威胁判定。
快速解答
IOC 查询的答案包含两部分：OpenTrojan 是否有该指标的记录，以及该记录是否经过验证。匹配记录会提高怀疑度并告诉你在哪里见过它；空结果仅意味着无已知记录——证据缺失不等于安全的证据。绝不要将查询结果等同于威胁判定。
定义
IOC 查询结果解读是在做出任何安全决策之前，在上下文中阅读指标匹配（或未命中）的纪律——记录来源（provenance）、置信度、时效性与关联。
先给答案
IOC 查询只返回两个事实：记录是否存在，以及该记录如何被限定。匹配 ≠ 恶意。无记录 ≠ 安全。
1. 匹配结果意味着什么
匹配意味着 OpenTrojan 至少在一条记录中见过该指标——恶意软件分析报告、活动页面、CVE 公告或厂商公告——并将其链接到相关实体（恶意软件家族、行为者、活动）。使用链接实体来确定方向：该指标在何处、以何种身份、在哪里被观察到。
2. 匹配结果并不意味着什么
匹配并不证明该指标在你环境中活跃，并不证明任何主机已失陷，也并不证明归属。它是收集、关联与调查的起点——而非结论。
3. “未找到已验证情报”意味着什么
该指标在 OpenTrojan 中没有记录。这是覆盖范围声明，而非安全声明：
- 该指标可能是新的、短暂的或小众的。
- 你的组织可能是唯一见过它的——这正是需要调查的时候。
- 绝不要因为查询无结果就告诉用户”它很干净”。
4. 误报与漏报
- 误报：被恶意与良性服务共同复用的域名、共享托管网段中的 IP，或碰巧匹配另一样本记录的哈希。行动前检查实体描述与参考资料。
- 漏报：新指标、更新缓慢的黑名单，或记录时是干净的域名。时效性很重要：检查记录的观察时间戳。
5. 置信度与来源质量
每条记录都有来源（provenance）与置信度。优先采用厂商公告、CISA 与第一方恶意软件分析的记录。将被动观测到的记录视为线索，而非证明。若置信度低，先收集更多证据再行动。
6. 何时调查
当指标出现以下情况时升级：出现在你正在分流的日志或邮件中、与第二个独立信号关联，或与已确认的家族/活动直接相关。一次无关命中是线索；两次独立命中构成案件。
7. 后续步骤
- 在笔记中保留失效化（defanged）的值与记录 URL。
- 将指标与你环境中的日志（代理、DNS、邮件）关联。
- 启动调查以跟踪关联与结论。
- 稍后重新检查——指标会随时间变化。