用途
该技能用于在安全事件响应期间及之后，系统化地收集、分类和分发妥协指标（IOC），以支持检测、阻断和威胁情报共享。
适用时机包括：
- 在活跃事件响应期间识别和阻断对手基础设施
- 事件后记录所有观察到的对手痕迹，供未来检测使用
- 与 ISAC、行业合作伙伴或执法机构共享威胁情报
- 在 SIEM、EDR 或网络安全工具中构建检测规则
- 对 IOC 进行威胁情报富化以进行风险评分
不适用于：没有配套技术指标的行为 TTP 分析；行为特征描述应使用 MITRE ATT&CK 映射。
主要能力
该技能覆盖三类 IOC 的收集：
网络指标：IP 地址（C2 服务器、暂存服务器、外泄目标）、域名（C2 域名、钓鱼域名、DGA 域名）、URL（恶意软件下载、C2 签到、外泄端点）、JA3/JA3S 哈希（TLS 客户端/服务器指纹）、User-Agent 字符串、DNS 查询模式（隧道签名、DGA 模式）。
主机指标：文件哈希（MD5、SHA-1、SHA-256）、文件路径、注册表键、计划任务和服务名称、互斥体/事件名称、命名管道。
邮件指标：发件人地址和域名、主题行和正文内容模式、附件名称和哈希、嵌入 URL、邮件头异常（SPF/DKIM/DMARC 失败）。
使用方式
工作流分为六个步骤：
- 识别 IOC 类别：从事件证据中收集所有类别的指标。
- 从证据源提取 IOC：从 SIEM/日志分析、内存取证、恶意软件分析等来源系统化提取。例如从防火墙日志提取目标 IP、从 DNS 查询日志提取域名、使用 Volatility 从内存转储提取网络连接和字符串。
- 富化 IOC 上下文：为每个指标添加威胁情报上下文，包括 VirusTotal 检测率、Shodan 开放端口、地理位置、首次发现时间、关联威胁情报、置信度和 TLP 标记。
- 评分和优先级排序：按 0-100 置信度评分，90-100 为确认恶意，70-89 为高度可疑，50-69 为可疑，30-49 为未确认，0-29 为可能良性。
- 分发 IOC 用于检测和阻断：推送到防火墙/IPS、DNS、EDR、邮件网关、SIEM、Web 代理等防御系统。
- 与合作伙伴共享 IOC：以 STIX 2.1 格式打包，提交到 MISP、ISAC 门户和 TAXII 服务器。
适用场景
典型场景为事件后 IOC 包共享：在响应 Qakbot 感染导致 Cobalt Strike 部署的事件后，IR 团队需将所有 IOC 打包与金融服务 ISAC（FS-ISAC）共享。流程包括编译所有网络、主机和邮件指标，使用 VirusTotal 和 MISP 关联数据富化，分配置信度评分，标记 TLP:AMBER，导出为 STIX 2.1 包并提交到 FS-ISAC TAXII 源，同时创建人类可读的 IOC 摘要报告。
限制与注意事项
- 共享 IOC 包中不应包含内部 IP 地址或主机名（信息泄露）
- 不应将应限制为 TLP:AMBER 的 IOC 以 TLP:WHITE 共享
- 人类可读报告中应对 URL 和域名进行 defang 处理
- 不应将合法 CDN 或云提供商的 IP 地址作为恶意 IOC 共享
- 需要访问事件证据源（SIEM 日志、EDR 遥测、内存转储、磁盘镜像、网络捕获）
- 需要威胁情报平台（MISP、OpenCTI、ThreatConnect）进行 IOC 管理和共享
- 需要 IOC 富化工具（VirusTotal、OTX、Shodan、DomainTools）
- 需要 STIX 2.1 知识进行结构化 IOC 表示
- 需要与相关 ISAC 或行业合作伙伴的共享协议
关键概念
- IOC：安全事件中观察到的表明对手存在的技术痕迹
- TLP：威胁情报共享限制分类标准（WHITE、GREEN、AMBER、AMBER+STRICT、RED）
- STIX：结构化威胁信息表达标准语言
- TAXII：STIX 格式威胁情报的传输协议
- 置信度评分：0-100 数值，表示分析师对指标确为恶意的确定性
- IOC 生命周期：创建、验证、分发和最终退役指标的过程
- Defanging：修改恶意 URL 和域名以防止意外点击的做法
工具与系统
- MISP：开源威胁情报共享平台
- VirusTotal：多引擎恶意软件扫描和威胁情报平台
- OpenCTI：原生支持 STIX 2.1 的开源网络威胁情报平台
- Yeti：组织可观察对象、指标和 TTP 的开源平台
- CyberChef：GCHQ 的数据转换工具，用于解码、defang 和格式化 IOC