用途：在行为与静态分析完成后，把证据整理成可复现、可分享的 IOC 列表、YARA 规则与分析报告。未完成分析时不宜使用，IOC 原料来自行为分析产物。
主要能力：按文件级（sha256 为主、md5 辅助）、网络级（域名/IP/端口/硬编码 URL）、系统级（落地路径、互斥体名）分类提取 IOC，去重并标注可信度；编写 YARA 规则，特征按唯一性、稳定性、可区分性选择并评分，规则名用 平台_家族_类型 规范；报告按摘要、行为、证据、IOC、结论五段撰写，证据段逐项给路径与 sha256。
使用方式：工具准备包括 yara（Linux: apt install yara / dnf install yara / pacman -S yara；macOS: brew install yara；Windows/WSL: pip install yara-python）、pefile（pip install pefile），可选 VirusTotal 与 grep.app 查询。验证规则：yara rule.yar sample.exe、yara -s rule.yar sample.exe 核对命中串、yara rule.yar benign_samples/* 做误报测试，并做阳性/阴性对照与全库回归。
限制：本技能以静态处理为主，不运行样本；上传私有样本到 VT 前需确认数据策略。常见坑包括特征过泛导致误报、只写 hash 无法泛化、报告缺证据路径、atom 质量差导致扫描慢、单样本规则脆弱、元数据不完整、for all 循环未绑 filesize、均匀重复字符串触发 too many matches。具体收费与平台支持暂未提供。