Analyzing Indicators of Compromise（分析攻击指标）是一项用于对攻击指标（IOC）进行快速分流和丰富分析的安全技能，主要处理IP地址、域名、文件哈希、URL以及电子邮件痕迹，并据此判断其恶意置信度。
一、适用场景 资料指出，当出现以下情况时可使用该技能：钓鱼邮件或告警产生需要快速分流的IOC（URL、IP地址、文件哈希）；自动化情报源批量下发IOC，需要在接入阻断控制前进行置信度评分；事件调查需要对观察到的网络痕迹进行上下文丰富。 资料同时明确指出，不应将该技能孤立用于高风险封禁决策，应始终将自动化丰富与分析人员判断相结合，尤其针对共享基础设施（CDN、云服务商）。
二、前置条件 使用该技能需要：VirusTotal API密钥（免费或企业版），用于多引擎杀毒与沙箱查询；AbuseIPDB API密钥，用于IP信誉检查；MISP实例或TIP，用于与已知活动交叉比对；带有requests和vt-py库的Python环境，或带有预构建连接器的SOAR平台。
三、工作流程 步骤1：规范化并分类IOC类型。在丰富前先对每个IOC分类：IPv4/IPv6地址需检查是否为RFC 1918私有地址（私有地址跳过外部丰富）并验证格式；域名/FQDN需进行defang处理以便安全操作（如evil[.]com），并通过tldextract提取注册域名；URL需分别提取域名与路径，并检查是否存在重定向器；文件哈希需识别哈希类型（MD5/SHA-1/SHA-256），优先使用SHA-256以保证唯一性；电子邮件地址需拆分为域名（检查MX/DMARC）与本地部分以进行模式分析。文档中的IOC应做defang处理（将.替换为[.]，将://替换为[://]），以防误点击。
步骤2：多源丰富。资料给出了VirusTotal（文件哈希、URL、IP、域名）、AbuseIPDB（IP地址）和MalwareBazaar（文件哈希）的示例代码。其中VirusTotal使用vt-py客户端获取文件对象、域名分析统计与信誉；AbuseIPDB通过API查询abuseConfidenceScore和总报告数；MalwareBazaar通过POST查询get_info获取标签与签名。
步骤3：结合活动归因进行上下文分析。可查询MISP中与IOC匹配的既有事件，示例使用pymisp按值搜索domain类型属性并打印事件信息与威胁等级。还可检查Shodan获取IP上下文（托管服务商、开放端口、banner），以识别该IP属于防弹托管还是合法云服务商（误报风险）。
步骤4：分配置信度分数与处置。采用分层决策框架：封禁（高置信度≥70%）——VirusTotal上≥15个杀毒引擎检出、AbuseIPDB分数≥70、匹配已知恶意软件家族或活动；监控/告警（中置信度40–69%）——5至14个杀毒引擎检出、AbuseIPDB分数中等、无活动归因；白名单/调查（低置信度<40%）——≤4个杀毒引擎检出、无滥用报告、属于合法服务（Google、Cloudflare CDN IP）；误报——合法业务服务被错误标记，需记录并从未来告警中排除。
步骤5：记录并分发。在TIP/MISP中记录发现，包括：收集的所有丰富数据（时间戳、来源、分数）、处置决定及理由、已执行的阻断操作（防火墙、代理、DNS sinkhole）、相关事件工单号。导出为带适当置信度字段的STIX指标对象。
四、关键概念 资料列出以下术语：IOC（攻击指标，指示潜在入侵的可观测网络或主机痕迹）、Enrichment（丰富，从多个情报源为原始IOC添加上下文数据的过程）、Defanging（defang，修改IOC以防止在文档中被意外激活）、False Positive Rate（误报率，被错误标记为恶意的良性痕迹百分比，对调整封禁阈值至关重要）、Sinkhole（DNS sinkhole，将恶意域名查询重定向到良性IP，以便在不完全阻断流量的情况下进行检测）、TTL（IOC在阻断控制中的生存时间；IP指标应在30天后过期，域名在90天后过期）。
五、工具与系统 VirusTotal：多引擎恶意软件扫描器与威胁情报平台，拥有70多个杀毒引擎、沙箱报告和社区评论。AbuseIPDB：社区维护的IP信誉数据库，含90天滥用报告历史。MalwareBazaar（abuse.ch）：免费恶意软件哈希仓库，支持YARA规则关联和恶意软件家族标签。URLScan.io：免费URL分析服务，为钓鱼URL分流捕获截图、DOM和网络请求。Shodan：全网扫描数据，提供托管服务商、开放端口和banner信息用于IP丰富。
六、常见陷阱 资料指出需注意：封禁共享基础设施——CDN IP（Cloudflare 104.21.x.x、AWS CloudFront）可能合法承载恶意内容，但封禁该IP会中断数千个合法站点；迷信VirusTotal分数——低检出数不代表良性，零日恶意软件和定制APT工具起初常为0分，应检查沙箱行为、MISP和被动DNS；缺少defang——在邮件或Confluence文档中粘贴未处理的IOC可能触发自动URL扫描器或钓鱼工具；无过期策略——没有TTL的IOC会无限累积在封禁列表中，随着基础设施被合法用户重新使用而产生误报；过度依赖单一来源——VirusTotal汇总的是各杀毒引擎意见，可能全部错误或滞后于新兴恶意软件，高风险决策应使用3个以上独立来源。