什么是失陷指标（IOC）？
失陷指标（IOC）是在恶意软件或攻击活动中观察到的取证证据——IP、域名、URL、哈希或其他痕迹。了解 IOC 的类型、生命周期以及如何在不把查询结果当作定论的前提下使用它们。
快速解答
失陷指标（IOC）是与已知恶意或可疑活动相关联的具体痕迹——IP 地址、域名、URL、文件哈希、电子邮件地址或其他可观测对象。IOC 支撑检测与分流研判，但查询结果只是一个线索：命中只表明该痕迹在何处被观测到，而无记录仅意味着暂无已知覆盖。使用 IOC 来丰富调查，绝不要将其作为独立的安全定论。
定义
失陷指标（IOC）是一种技术痕迹——例如网络地址、域名、URL、文件哈希或电子邮件标识符——与恶意或可疑活动相关联，可用于检测、关联和分流研判潜在的入侵。
先给答案
IOC 是证据，而非定论。它是与已知恶意活动相关联的具体痕迹——一个地址、一个域名、一个 URL、一个哈希。用它来启动采集与关联；绝不要只凭单次查询结果下结论。
概述
失陷指标（IOC）是在恶意或可疑活动中观测到的任何技术痕迹。指标是威胁情报的原子构建块：它们让防御者能够将自己的日志和遥测数据与已知的攻击、恶意软件家族、行为者和行动信息进行比对。
IOC 的类型
OpenTrojan 处理的常见指标：
- IPv4 / IP 段 —— 命令与控制服务器、扫描器、托管基础设施。
- 域名 —— 钓鱼页面、载荷投递、近似仿冒注册。
- URL —— 精确的钓鱼或下载链接（最具针对性、噪音最小）。
- 文件哈希 —— 已知恶意软件样本的 MD5 / SHA-1 / SHA-256。
- 电子邮件标识符 —— 发件地址、主题、信封元数据。
- 其他痕迹 —— TLS 证书、User-Agent、加密货币钱包地址、YARA 规则。
特异性很重要：一个精确的哈希比共享托管 IP 的噪音小得多。
为什么 IOC 很重要
IOC 将情报转化为行动。在已确认的行动中观测到的域名，可让您搜索代理和邮件日志；一个哈希可让您搜索端点资产；一个 IP 可让您检查防火墙和 DNS 记录。没有指标，情报就停留在抽象层面。
IOC 的生命周期
- 采集（Collection） —— 从样本、钓鱼工具包、行动报告或事件中捕获痕迹。
- 规范化（Normalization） —— 转换为规范形式（小写域名、去毒化 URL）。
- 丰富化（Enrichment） —— 将指标关联到实体：恶意软件家族、行为者、行动、CVE。
- 匹配（Matching） —— 与遥测数据及其他记录进行比对。
- 研判（Judgement） —— 基于证据做决定，绝不只凭匹配结果。
命中记录（或无记录）意味着什么
- 命中（Match）：该痕迹之前被观测到过，并关联到相关实体。这是起点，而非失陷的证明。
- 无记录（No record）：仅仅是覆盖范围的声明。全新或小众的指标可能尚不为人知——没有证据并不等于安全的证据。
完整解读请参阅如何解读 IOC 查询结果。
如何调查
相关概念
- 什么是钓鱼攻击？ —— 钓鱼攻击是新鲜 IOC 的主要来源。
- 威胁检测 —— 指标如何融入检测。
- 如何解读 IOC 查询结果 —— 正确理解命中结果。
- 分析一个指标 —— 在查询前理解指标类型。
后续步骤
- 始终保留溯源信息：哪个来源、何时观测、置信度多少。
- 将单次命中视为线索；只有经过关联才升级处理。
- 定期复查——随着基础设施变化，指标会逐渐失效。