网络安全专业术语
IOC
Indicator of Compromise
入侵指标 · 判断系统是否被黑的线索
威胁情报防御/检测
IOC
- 定义
- IOC（Indicator of Compromise）是网络安全领域的专业术语。IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。
最后更新：2026-03-18
什么是IOC？
IOC 是安全团队用来检测入侵的技术指标：恶意 IP 地址、C2 域名、恶意文件哈希、异常注册表项等。威胁情报平台通过共享 IOC 帮助组织快速识别已知威胁。
- 恶意 IP、域名、哈希等技术指标
- 威胁情报共享的基础数据
- 用于检测已知威胁的被动防御
IOC详解
IOC 是事后检测的指标，当系统中发现匹配的 IOC 时，说明可能已被入侵。常见 IOC 类型：IP 地址、域名、URL、文件哈希（MD5/SHA256）、邮件地址、YARA 规则。IOC 的局限在于只能检测已知威胁，且攻击者可以轻易更换 IOC。TTP（战术、技术和程序）是比 IOC 更持久的检测维度。
IOC的应用场景
正式定义
用于识别系统已被入侵的可观测技术指标
应用场景
- 安全事件的快速检测和确认
- 威胁情报的共享和消费
- SIEM 规则的编写和告警
常见误区
- IOC 只能检测已知威胁，无法发现新型攻击
- IOC 容易过时，攻击者可以快速更换基础设施
- TTP 比 IOC 更有价值，因为攻击手法更难改变
实际案例
📌 IOC 共享
VirusTotal、AlienVault OTX 等平台每天共享数百万条 IOC，安全团队将这些 IOC 导入 SIEM 自动匹配检测。
IOC的参考来源
关于IOC的常见问题
- IOC 包含哪些类型
- 恶意 IP/域名、文件哈希（MD5/SHA256）、恶意 URL、注册表键值、互斥量名称、特定的网络流量特征。
- IOC 和 IOA 有什么区别
- IOC 是事后指标（已发生的入侵痕迹），IOA 是行为指标（正在发生的攻击行为），IOA 能更早发现威胁。