如何分析失陷指标
针对每种 IOC 类型应使用哪些工具、如何解读其输出，以及在调查过程中如何跨指标转向。
快速解答
将工具与指标相匹配：哈希 → 哈希检查器，IP → IP 声誉 + DNS，域名 → DNS/URL 声誉 + IOC 查询，电子邮件 → 邮件头分析加 URL/域名查询；始终将结果转向关联实体。
定义
一份指南，指导为每种指标类型（哈希、IP、域名、URL、电子邮件、CVE）选择正确的工具，并利用输出从一个指标转向下一个指标。
它是什么
一份实用的映射，将每个 IOC 类型对应到分析它的工具，以及如何将结果迭代到下一个指标。
为什么重要
只有当指标与正确的工具相匹配、且结果被串联成一条叙事时，IOC 才有用。这将一组零散的指标转化为一项有范围界定的调查，并附带推荐的下一步。
如何按类型分析
- 文件哈希 → 哈希检查器（
guides:tool-hash-guide）——确认已知良性/恶意，然后转向来源/父进程。 - IP → IP 声誉 + DNS（
guides:tool-ip-guide）——声誉、ASN、被动 DNS 关联。 - 域名 → DNS + URL 声誉（
guides:tool-dns-guide、guides:tool-url-guide）。 - URL → URL 分析器/声誉（
guides:tool-url-analyzer-guide），在判断前先解码。 - 电子邮件 → 邮件头分析（
guides:tool-email-header-guide），提取发件人/链接/附件哈希以转向下一步。 - CVE → CVE 查询（
guides:tool-cve-guide），获取严重性/KEV/补丁上下文。 - 跨类型：IOC 查询（
guides:tool-ioc-guide）在情报库中搜索任何提及该指标的记录。
检测 / 解读
阅读每个工具的解读指南；绝不把单一低保真信号（共享 IP）当作定论——应结合多个类型（参见 security:types-of-iocs）。
调查
沿转向链追踪：哈希 → 主机 → C2 IP → 其他主机 → TTP → 关联活动（参见 guides:cyber-intelligence-workflow 中与 guides:intelligence-dashboard 相当的条目）。