威胁情报比对方法是什么
拿哈希、域名、地址分别去情报源比对：命中时看首次出现时间与标签，未命中也要记录，因为自建基础设施通常尚未被收录。情报的作用是补充背景与提示来源倾向，不能替代本地证据。
基本信息
| 用途 | 借助外部数据补充背景与判断倾向 |
|---|---|
| 比对维度 | 哈希信誉、域名注册时间、地址历史、证书复用 |
| 记录要求 | 注明查询时间与数据源 |
| 取舍原则 | 情报标签与本地行为矛盾时以本地证据为主 |
典型使用场景
- 拿到未知样本，先看哈希是否有历史记录
- 排查域名注册时间是否与攻击窗口吻合
- 通过地址历史发现同源基础设施
- 用证书复用关系串联多台主机
- 事件报告里补充威胁背景与家族倾向
比对清单
比对清单
1) 哈希 → 家族归属与首次上传时间
2) 域名 → 注册时间、解析历史、同地址邻居
3) 地址 → 历史归属、是否共享主机
4) 证书 → 复用关系，发现同一基础设施的其他域名
# 情报标签与本地行为矛盾时以本地证据为主，并把矛盾点写进报告维度与结论价值
| 维度 | 能回答的问题 | 局限 |
|---|---|---|
| 哈希信誉 | 是否为已知恶意样本 | 新样本往往没有任何记录 |
| 域名注册时间 | 是否为攻击近期注册 | 老域名也可能是被入侵的合法站点 |
| 地址历史 | 是否共享主机或 CDN | 共享主机上的判定误伤率高 |
| 证书复用 | 是否与其他域名同源 | 证书可以被复制与伪造 |
情报是旁证。报告里注明查询时间与来源，避免结论随时间漂移：同一个哈希在半年后可能已有完全不同的标签。
查询外部平台时注意样本上报策略：把内部敏感文件上传公开平台可能造成二次泄露，先走内部流程再决定。