메뉴
指标生命周期管理跟踪 IOC 从初始发现到验证、富化、部署、监控和最终停用的全过程。本技能涵盖实施 IOC 质量评估、老化策略、置信度衰减评分、误报跟踪、命中率监控和自动到期的系统化流程，以维护高质量、可操作的指标数据库，最大限度减少分析师疲劳并提高检测效能。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-indicator-lifecycle-management명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
SOC 직업 분류 기준
SKILL.md 표시 중
| name | performing-indicator-lifecycle-management |
| description | 指标生命周期管理跟踪 IOC 从初始发现到验证、富化、部署、监控和最终停用的全过程。本技能涵盖实施 IOC 质量评估、老化策略、置信度衰减评分、误报跟踪、命中率监控和自动到期的系统化流程，以维护高质量、可操作的指标数据库，最大限度减少分析师疲劳并提高检测效能。 |
| domain | cybersecurity |
| subdomain | threat-intelligence |
| tags | ["threat-intelligence","cti","ioc","mitre-attack","stix","indicator-lifecycle","ioc-management"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
指标生命周期管理跟踪 IOC 从初始发现到验证、富化、部署、监控和最终停用的全过程。本技能涵盖实施 IOC 质量评估、老化策略、置信度衰减评分、误报跟踪、命中率监控和自动到期的系统化流程，以维护高质量、可操作的指标数据库，最大限度减少分析师疲劳并提高检测效能。
pymisp、requests、stix2 库指标置信度随时间降低，因为对手会轮换基础设施。基于时间的衰减函数自动降低置信度评分，确保旧指标不会产生过多告警。典型半衰期：IP 地址（30 天）、域名（90 天）、文件哈希（365 天）。
from datetime import datetime, timedelta
from enum import Enum
class IOCState(Enum):
DISCOVERED = "discovered" # 已发现
VALIDATED = "validated" # 已验证
ENRICHED = "enriched" # 已富化
DEPLOYED = "deployed" # 已部署
MONITORING = "monitoring" # 监控中
UNDER_REVIEW = "under_review" # 审查中
RETIRED = "retired" # 已停用
class IOCLifecycle:
def __init__(self, ioc_type, value, source, initial_confidence=50):
self.ioc_type = ioc_type
self.value = value
self.source = source
self.confidence = initial_confidence
self.state = IOCState.DISCOVERED
self.created = datetime.utcnow()
self.last_updated = datetime.utcnow()
self.last_seen = None
self.hit_count = 0
self.false_positive_count = 0
self.history = [{"state": "discovered", "timestamp": self.created.isoformat()}]
():
.state = new_state
.last_updated = datetime.utcnow()
.history.append({
: new_state.value,
: .last_updated.isoformat(),
: reason,
})
():
half_lives = {: , : , : , : }
half_life = half_lives.get(.ioc_type, )
age_days = (datetime.utcnow() - .created).days
decay_factor = ** (age_days / half_life)
.confidence = (, (.confidence * decay_factor))
():
.hit_count +=
.last_seen = datetime.utcnow()
is_true_positive:
.false_positive_count +=
.false_positive_count > :
.transition(IOCState.UNDER_REVIEW, )
():
max_ages = {: , : , : , : }
max_age = max_ages.get(.ioc_type, )
age_days = (datetime.utcnow() - .created).days
age_days > max_age .hit_count ==