IOCvsThreat Hunting

IOC

IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。威胁情报平台通过共享 IOC 帮助组织快速识别已知威胁。

Threat Hunting

Threat Hunting 是安全团队主动出击寻找潜伏在网络中的威胁，而不是被动等待 SIEM 告警。假设攻击者已经在你的网络中——然后去证明或证伪这个假设。

IOC

• 恶意 IP、域名、哈希等技术指标
• 威胁情报共享的基础数据
• 用于检测已知威胁的被动防御

Threat Hunting

• 核心理念：假设已被入侵，主动寻找证据
• 需要高级分析师的经验和直觉
• 数据驱动：日志、流量、终端遥测是狩猎的弹药

IOC

用于识别系统已被入侵的可观测技术指标

Threat Hunting

安全团队基于假设驱动主动搜索网络中未被检测到的潜伏威胁的实践

IOC

• 安全事件的快速检测和确认
• 威胁情报的共享和消费
• SIEM 规则的编写和告警

Threat Hunting

• 发现绕过自动化检测的高级威胁
• 验证和提升现有检测规则的有效性
• APT 攻击的早期发现

IOC

IOC 是事后检测的指标，当系统中发现匹配的 IOC 时，说明可能已被入侵。常见 IOC 类型：IP 地址、域名、URL、文件哈希（MD5/SHA256）、邮件地址、YARA 规则。IOC 的局限在于只能检测已知威胁，且攻击者可以轻易更换 IOC。TTP（战术、技术和程序）是比 IOC 更持久的检测维度。

Threat Hunting

Threat Hunting 是安全运营的高级实践，由经验丰富的分析师基于假设驱动的方法主动搜索网络中的异常活动。与被动的告警响应不同，Threat Hunting 假设攻击者已经绕过了现有防御，通过分析日志、网络流量和终端数据来发现潜伏的威胁。常用方法包括：基于 IOC 的搜索、基于 TTP 的行为分析、以及基于异常的统计分析。Threat Hunting 的发现会反馈到检测规则中，持续提升防御能力。