ioc-analysis

name	ioc-analysis
description	IOC（失陷指标）分析与对抗方法论。蓝队视角：如何收集、富化、关联 IOC 进行威胁猎杀。红队视角：如何避免自身基础设施和工具产生可识别的 IOC，以及如何使 IOC 快速失效。当红队需要评估自身暴露面或规划 C2 基础设施时使用
metadata	{"tags":"ioc,indicator,threat-intel,c2-infrastructure,opsec,威胁情报,失陷指标,基础设施,归因","category":"threat-intel","mitre_attack":"T1583,T1584,T1588,T1608,T1071"}

IOC 分析与对抗

红队定位：理解蓝队如何追踪你 → 设计短生命周期、不可关联的基础设施

⛔ 深入参考

• C2 基础设施 OPSEC 清单 → references/c2-infra-opsec.md
• IOC 类型与生命周期管理 → references/ioc-lifecycle.md

---

IOC 金字塔（Pyramid of Pain）

难以更换                     防御者价值高
   ▲
   │  TTPs（战术/技术/过程）      ← 最难改变
   │  工具特征（Imphash/YARA）    ← 需重新编译
   │  网络/主机 Artifact          ← 需改行为模式
   │  域名                        ← 需新注册
   │  IP 地址                     ← 最容易换
   │  哈希值                      ← 改一字节即变
   ▼
容易更换                     防御者价值低

红队策略：确保自己的 IOC 处于金字塔底部（容易更换），避免暴露顶部（TTP 不可变）

Part A: 蓝队视角 — IOC 收集与分析

IOC 类型

类型	示例	采集来源
文件哈希	MD5/SHA256	终端/沙箱/VirusTotal
IP 地址	C2 服务器 IP	网络日志/PCAP
域名	C2/钓鱼域名	DNS 日志/证书透明度
URL/URI	C2 路径	代理日志/HTTP 日志
Email	发件人/附件名	邮件网关