IOC 规范化与管理是什么
指标要有类型、上下文与有效期：域名、地址、哈希分开管理，每条标注来源与置信度。目的是避免拿一份来源不明、字段残缺的清单去打猎——那样的清单既容易漏，也容易误伤业务。
基本信息
| 用途 | 让线索可复用、可撤下 |
|---|---|
| 最小字段 | 类型、值、来源、首次观察、置信度、有效期 |
| 管理要点 | 分类型存储、标注上下文、定期复核 |
| 常见格式 | CSV、结构化交换格式、平台内部字段 |
典型使用场景
- 事件结束后把指标沉淀为可复用资产
- 把不同来源的清单合并去重
- 排查时快速判断某指标是否仍在有效期内
- 记录误报，避免同一指标反复触发
- 为检测规则与阻断策略提供输入
- 同一指标来自多份来源时，对齐首次观察时间并取最早的一次
最小清单格式
最小清单格式
type,value,source,first_seen,confidence,expires
ip,203.0.113.5,capture-2026-10-12,2026-10-12,medium,2027-01-12
domain,evil.example,mail-gateway,2026-10-11,high,2027-04-11
# 无上下文的指标不进入阻断名单，只用于检索字段要求
| 字段 | 作用 | 缺失后果 |
|---|---|---|
| 类型 | 决定匹配与存储方式 | 把域名当普通字符串，匹配方式出错 |
| 来源 | 评估可信度的依据 | 无法判断优先级 |
| 首次观察 | 判断新旧与时效 | 过期指标反复触发 |
| 置信度 | 分级处置的依据 | 高误伤指标被直接阻断 |
| 有效期 | 自动撤下的时间点 | 长期滞留造成业务故障 |
共享主机与 CDN 地址这类指标误伤率高，进入阻断名单前先评估影响面；拿不准时只用于检索，不用于阻断。
撤下记录与误报记录同样要留档，复盘时能说明哪些指标带来过问题，也便于改进筛选标准。
指标入库前先做格式校验：地址与域名混填、字母大小写不一致都会影响匹配，一个字符的差异就会漏掉命中。
事件收尾后对名单做一次清理，把风险已解除的条目撤下，避免名单长期膨胀导致检索与阻断效率下降。