入侵指标（IOC）的类型
入侵指标的常见类别——网络、主机、文件和账户信号——以及安全团队如何将它们用于检测与狩猎。
快速解答
IOC 分为四大类——网络（IP/域名/URL）、主机（路径/注册表键/服务）、文件（哈希/文件名）、账户（以及行为信号）——组合使用时最为强大；切勿将单个低保真度 IOC 视为确定性证据。
定义
入侵指标（IOC）是一种可观测对象，用于指示已发生或正在进行的入侵；IOC 涵盖网络、主机、文件和账户等领域，其保真度差异很大。
它是什么
IOC 是用于指示入侵的可观测对象。按领域对其进行分类，可以让检测与验证变得切实可行，而不是把一堆指标混作一团。
为什么重要
并非所有 IOC 都同等重要：文件哈希保真度高，但只对某一个样本唯一；共享 IP 保真度低，且被合法流量大量复用。理解这些类别及其保真度，既能避免误报，也能防止漏掉迹象。
工作原理——四大类别
- 网络：IP、域名、URL、C2 端点——数量庞大，通常保真度较低（参见
security:what-is-an-ioc）。 - 主机：文件路径、注册表键、服务名称、计划任务——保真度中等/较高。
- 文件：SHA-256 哈希、文件名、文件大小、PE/AV 元数据——保真度高，范围狭窄。
- 账户：用户名/邮箱 + 行为信号（不可能旅行、权限突增）——经过富化后价值很高。
检测
- 将工件与威胁情报 IOC 集合进行交叉比对（参见
guides:tool-ioc-guide）。 - 将 IOC 视为狩猎输入，而非自动判决：将文件哈希与网络枢纽点结合以增强信心。
缓解
- 摄取并去重 IOC；为每个指标标注时间戳与来源。
- 按保真度为 IOC 赋权；对低保真度指标主要自动化处理，在出现关联时升级处置。
调查
- 跨类别进行枢纽分析：哈希 → 父进程/主机 → C2 IP → 其他主机 → TTP。参见
guides:suspicious-domain-investigation和guides:analyze-ioc。