IOCvsYARA

IOC

IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。威胁情报平台通过共享 IOC 帮助组织快速识别已知威胁。

YARA

YARA 是恶意软件研究者的瑞士军刀，通过编写规则（字符串匹配 + 条件逻辑）识别和分类恶意软件样本。安全厂商和威胁情报平台广泛使用 YARA 规则。

IOC

• 恶意 IP、域名、哈希等技术指标
• 威胁情报共享的基础数据
• 用于检测已知威胁的被动防御

YARA

• 基于规则的恶意软件识别工具
• 字符串匹配 + 布尔条件逻辑
• 威胁情报共享的标准格式

IOC

用于识别系统已被入侵的可观测技术指标

YARA

基于规则匹配的恶意软件识别和分类工具

IOC

• 安全事件的快速检测和确认
• 威胁情报的共享和消费
• SIEM 规则的编写和告警

YARA

• 恶意软件样本的识别和分类
• 威胁狩猎中的文件扫描
• 事件响应中的 IOC 检测

IOC

IOC 是事后检测的指标，当系统中发现匹配的 IOC 时，说明可能已被入侵。常见 IOC 类型：IP 地址、域名、URL、文件哈希（MD5/SHA256）、邮件地址、YARA 规则。IOC 的局限在于只能检测已知威胁，且攻击者可以轻易更换 IOC。TTP（战术、技术和程序）是比 IOC 更持久的检测维度。

YARA

YARA 规则由 strings（特征字符串）和 condition（匹配条件）组成，可以匹配文件内容、文件大小、入口点等特征。YARA 广泛用于：恶意软件分类、威胁狩猎、事件响应中的 IOC 扫描。社区维护的 YARA 规则库（如 YARA-Rules）包含数千条检测规则。YARA 也被集成到 VirusTotal、ClamAV 等工具中。