CTIvsIOC

CTI

CTI 通过收集、分析和共享威胁信息（攻击者、手法、目标、IOC），帮助组织预判和防御网络攻击。CTI 分为战略级、战术级和操作级三个层次。

IOC

IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。威胁情报平台通过共享 IOC 帮助组织快速识别已知威胁。

CTI

• 收集分析共享威胁信息
• 战略/战术/操作三个层次
• MITRE ATT&CK 是 CTI 的通用语言

IOC

• 恶意 IP、域名、哈希等技术指标
• 威胁情报共享的基础数据
• 用于检测已知威胁的被动防御

CTI

收集分析和共享网络威胁信息以支持安全决策的情报实践

IOC

用于识别系统已被入侵的可观测技术指标

CTI

• 威胁态势的持续监控
• 安全策略的情报驱动决策
• 攻击组织的追踪和归因

IOC

• 安全事件的快速检测和确认
• 威胁情报的共享和消费
• SIEM 规则的编写和告警

CTI

CTI 的三个层次：战略级（攻击趋势和地缘政治，给管理层看）、战术级（TTP 和攻击手法，给安全团队看）、操作级（IOC 和检测规则，给安全工具用）。CTI 的来源包括：开源情报（OSINT）、商业情报订阅、信息共享组织（ISAC）、暗网监控。CTI 的价值在于从被动防御转向主动防御。

IOC

IOC 是事后检测的指标，当系统中发现匹配的 IOC 时，说明可能已被入侵。常见 IOC 类型：IP 地址、域名、URL、文件哈希（MD5/SHA256）、邮件地址、YARA 规则。IOC 的局限在于只能检测已知威胁，且攻击者可以轻易更换 IOC。TTP（战术、技术和程序）是比 IOC 更持久的检测维度。