| 字段 | 类型、值、上下文、发现时间、置信度 |
|---|---|
| 来源 | 日志、样本、内存、邮件头 |
| 用途 | 全网检索、边界封禁、情报上报 |
| 脱敏 | 对外共享前清理敏感信息 |
生成 IoC 清单
生成 IoC 清单
grep -h 'Failed password' /var/log/auth.log | grep -oE 'from [^ ]+' | awk '{print $2}' | sort -u > /evidence/ioc_ip.txt
sha256sum /evidence/suspect.bin >> /evidence/ioc_hash.txt
sort -u /evidence/ioc_ip.txt | head -n 40IoC 要带上下文（主机、日志、时间窗）：孤立的值列表很难被其他团队复用。