IOC 附录怎么写
IOC 附录把案件中确认的失陷指标集中列出，供处置封禁与后续检索使用。规范做法是每条至少包含类型、取值、上下文与首次出现时间，并与证据编号互相引用；只给一串 IP 地址的附录既无法复核，也没法直接导入其它系统。
基本信息
| 常见类型 | ipv4、ipv6、domain、url、sha256、md5、文件名、互斥量 |
|---|---|
| 建议列 | type、value、context、first_seen_utc、evidence_id |
| 时间口径 | 统一使用带 Z 的 UTC 时间戳 |
| 关联要求 | 与证据编号或发现编号互指 |
| 导出格式 | CSV，便于导入封禁与检索平台 |
| 时效性 | 指标会随时间失效，需标注置信度与采集日期 |
典型使用场景
- 交付时提供可机器读取的处置清单
- 与边界设备的封禁策略对接
- 支持后续同类案件的快速检索
- 与流量日志比对确认命中情况
- 向委托方说明受影响的范围
最小示例
最小示例
head -3 iocs.csv # 确认列名与首行
wc -l iocs.csv # 记录条目数
sha256sum iocs.csv > iocs.csv.sha256 # 附录同样固化哈希
# 示例值仅演示格式，正式数据必须与证据编号对应
# type,value,context,first_seen_utc,evidence_id
# ipv4,203.0.113.10,外联目标候选,2026-01-02T03:20:11Z,E03
# sha256,9f2c8b1d,加载器样本,2026-01-02T03:05:00Z,E07
# domain,updates.example.invalid,更新域名,2026-01-02T03:21:00Z,E03列定义
| 列 | 含义 | 要求 |
|---|---|---|
| type | 指标类型 | 使用统一枚举值 |
| value | 指标取值 | 精确到字符，注意大小写 |
| context | 该指标在案件中的角色 | 不能只写恶意 |
| first_seen_utc | 首次出现时间 | 带 Z 的 UTC 时间，与时间线一致 |
| evidence_id | 支撑证据编号 | 必须能回指证据或发现 |
203.0.113.0/24 与 .invalid 域名属于文档保留范围，仅用于演示格式；正式附录中的取值必须来自本案证据。
同一指标在多个证据中出现时保留一条并引用多个编号，不要重复列出，否则统计会虚高。
IOC 会随时间失效，域名与 IP 可能被重新分配；附录必须标注置信度与采集日期，避免被当成永久有效的封禁依据。
边界设备、终端防护与邮件网关对同一指标的判定口径不同；附录可按用途分层，例如封禁用、检索用与仅作背景参考三类，减少被误用的机会。