IOCvsTTP

IOC

IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。威胁情报平台通过共享 IOC 帮助组织快速识别已知威胁。

TTP

TTP 是威胁情报的核心概念：Tactics（战术，攻击目标）、Techniques（技术，实现方式）、Procedures（程序，具体步骤）。TTP 比 IOC 更持久，因为攻击者可以换 IP 但很难换手法。

IOC

• 恶意 IP、域名、哈希等技术指标
• 威胁情报共享的基础数据
• 用于检测已知威胁的被动防御

TTP

• 战术-技术-程序三层行为描述
• 比 IOC 更持久的检测维度
• MITRE ATT&CK 是 TTP 的标准化框架

IOC

用于识别系统已被入侵的可观测技术指标

TTP

描述攻击者战术目标、技术手段和具体操作程序的行为框架

IOC

• 安全事件的快速检测和确认
• 威胁情报的共享和消费
• SIEM 规则的编写和告警

TTP

• 威胁情报的结构化描述
• 基于行为的威胁检测
• 攻击组织的画像和归因

IOC

IOC 是事后检测的指标，当系统中发现匹配的 IOC 时，说明可能已被入侵。常见 IOC 类型：IP 地址、域名、URL、文件哈希（MD5/SHA256）、邮件地址、YARA 规则。IOC 的局限在于只能检测已知威胁，且攻击者可以轻易更换 IOC。TTP（战术、技术和程序）是比 IOC 更持久的检测维度。

TTP

TTP 是 David Bianco 的「痛苦金字塔」中最顶层的指标：IOC（IP/哈希）容易更换，TTP（行为模式）很难改变。MITRE ATT&CK 框架将 TTP 标准化为 14 个战术和数百个技术。基于 TTP 的检测（行为检测）比基于 IOC 的检测更有效，因为它关注攻击者「做什么」而非「用什么工具」。