两层线索的稳定性不同
IOC 是具体指标：IP 地址、域名、文件哈希，特点是取证时精确、但寿命短，攻击者换一台服务器就失效。TTP 是手法与行为模式：如何获得初始访问、如何持久化、如何横向移动，特点是变化慢，能长期用于狩猎与规则沉淀。实务上两层配合使用：IOC 用于即刻围堵与快速扩线，TTP 用于判断「同类攻击是否已进入其他区域」，以及在下一次事件前就把检测规则准备好。
对比
| 维度 | IOC | TTP |
|---|---|---|
| 生命周期 | 短，随基础设施更换失效 | 长，随组织与人员习惯缓慢演变 |
| 检索方式 | 精确匹配（IP、域名、哈希） | 行为规则与事件序列 |
| 主要用途 | 围堵与扩线 | 狩猎与检测增强 |
| 主要风险 | 追着旧指纹跑，命中率随时间下降 | 误报需要基线校准 |
| 沉淀形式 | IOC 库与阻断清单 | 检测规则与狩猎假设 |
基本信息
| IOC 示例 | 外联 IP、域名、文件 SHA-256、证书指纹、URL 路径 |
|---|---|
| TTP 示例 | 异常时间登录、非交互账号执行 shell、计划任务调用外网地址 |
| 使用节奏 | IOC 即时检索，TTP 用于长期规则与复盘 |
| 落地位置 | IOC 进阻断清单与集中日志检索；TTP 进 SIEM 规则与狩猎清单 |
| 验证要求 | TTP 规则上线前用历史数据校准误报率 |
| 记录要求 | 两类线索在报告里分列，说明各自置信度与适用期 |
典型使用场景
- 已经确认外联 IP，立即在全部日志里检索同类外联以围堵
- 哈希确认后回溯各主机是否出现同一文件
- 把本次事件的手法总结成规则，用于巡检其他区域
- 评估攻击者更换基础设施后是否仍能被发现（TTP 的价值）
- 为管理层说明：为什么单靠黑名单不足以长期防护
- 事件收尾时把两类线索分别沉淀到不同资产库
两类线索的检索形态
两类线索的检索形态
# IOC 检索：精确匹配，要求速度与覆盖
zgrep -F '203.0.113.9' /var/log/*.log* 2>/dev/null | head
zgrep -F 'd41d8c...' /var/log/*.log* 2>/dev/null | head
# TTP 检索：行为序列，通常落在集中平台上做关联
# 例：同一账号在非工作时段登录后立即执行计划任务变更
# 先取失败样例校准，再上线为规则事件收尾时把 IOC 沉淀为可检索库、把 TTP 沉淀为检测规则。前者寿命与本次事件相关，后者能跨事件复用，两者的维护周期完全不同。
只靠 IOC 会「追着旧指纹跑」：攻击者更换基础设施后立刻失效。反之，TTP 规则误报率较高，必须用业务基线校准后再上线，否则告警泛滥反而降低响应效率。