0Pricing
Security+ Academy · 课时

入侵指标（IoC）

学习识别可能表明已遭入侵或正在遭受攻击的 IoCs——文件哈希、IP 地址、域名和行为模式。

入侵指标（IoC） 是 CoddyKit 上的免费 Security+ Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Security+ Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Security+ Academy 课程共包含 4 节课。

什么是入侵指标

入侵指标（IoCs）是攻击者留下的数字指纹。团队收集这些指标，以构建检测机制并搜寻攻击迹象。

基于文件的 IoCs：哈希

文件 hash是一种精确的 IoC：将文件的 hash 与已知恶意软件进行匹配后，它几乎可以确定是恶意文件。但只要更改一个字节，hash 就会改变，因此这种指标较为脆弱。

# Compute SHA-256 hash of a suspected malicious file
sha256sum suspicious_file.exe
# Output: 4a5678bc...  suspicious_file.exe

# Search for this hash in threat intelligence platforms
# curl 'https://www.virustotal.com/api/v3/files/4a5678bc...' -H 'x-apikey: KEY'

# Windows equivalent
Get-FileHash suspicious_file.exe -Algorithm SHA256

基于网络的 IoCs：IP 地址和域名

IP 地址和域名属于网络 IoCs，因为恶意软件会向命令服务器回传信息。攻击者会轮换地址并自动生成域名，以绕过阻止列表。

# Check if a domain is listed as malicious (using DNS blacklist)
dig +short 198.51.100.1.zen.spamhaus.org
# A response means the IP is listed as malicious

# Block a malicious domain at DNS level (Linux /etc/hosts sinkhole)
echo '0.0.0.0 malware-c2.evil.com' >> /etc/hosts

# Query firewall logs for known bad IP
grep '203.0.113.45' /var/log/firewall.log

URL 与 URI 指标

URL IoC可能非常具体，例如受信任网站上某一个恶意页面。请警惕隐藏真实目标的短链接。

注册表与文件系统 IoCs（Windows）

在 Windows 中，恶意软件会隐藏在持久化位置，例如 Run 注册表项、Startup 文件夹、计划任务和临时目录。调查人员通常会优先检查这些位置。

# Check common persistence locations on Windows
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run

# List scheduled tasks (look for unusual entries)
schtasks /query /fo LIST /v | findstr /i 'task name status'

# Check startup folder contents
dir '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup'

基于行为的 IoCs：异常模式

基于行为的 IoCs标记的是异常活动，而不是文件，例如凌晨 3 点登录、上传大量数据，或 Word 文档启动 PowerShell。攻击者更难规避这类指标。

IoCs 的痛苦金字塔

痛苦金字塔按照攻击者更改 IoCs 的难易程度进行排名。哈希和 IP 很容易替换，而其 TTPs 最难改变，也最有检测价值。

使用 SIEM 规则检测 IoCs

SIEM会关联日志，以大规模捕获 IoCs，例如来自阻止列表中 IP 的登录，或同一用户在不可能的时间窗口内出现在两个国家。

# Example Splunk SPL rule for impossible travel IoC
# Detect same user logging in from two countries within 1 hour
index=auth_logs sourcetype=ldap action=login
| sort 0 user, _time
| streamstats current=f last(src_country) as prev_country last(_time) as prev_time by user
| where src_country != prev_country AND (_time - prev_time) < 3600
| table user, src_country, prev_country, _time

IoC 生命周期：时效性很重要

IoCs 具有有效期。攻击者可能在几小时内放弃命令服务器，因此过时的指标会造成误报。请为指标标注可信度和到期日期。

通过电子邮件标头分析 IoCs

钓鱼邮件会在其标头中隐藏 IoCs，包括真实发件人、中继链和源 IP，此外还包括链接和附件。标头分析是分类研判的关键。

# Extract IoCs from an email file (.eml) using Python
import email
with open('suspicious.eml', 'r') as f:
    msg = email.message_from_file(f)

# Extract sender information
print('From:', msg['From'])
print('Return-Path:', msg['Return-Path'])
print('Received:', msg.get_all('Received'))
# Then extract and analyze any URLs in the body

IoCs 与攻击指标（IoA）

IoC 显示过去发生过入侵，而攻击指标（IoA）可以实时发现攻击意图，例如某个进程正在枚举账户，从而捕获甚至尚未被识别的恶意软件。

快速检查

请测试您对本课中 CompTIA Security+（SY0-701）相关概念的理解。

课程回顾

快速回顾：IoCs包括哈希、IP、域名、注册表项和行为；痛苦金字塔表明 TTPs 最具持久性；IoCs 还需要生命周期管理。下一节：对称加密。

常见问题解答

「入侵指标（IoC）」课时是免费的吗？

是的 — 「入侵指标（IoC）」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Security+ Academy 课程的其余内容，请升级到 CoddyKit PRO。 Security+ Academy 课程共包含 4 节课。

「入侵指标（IoC）」这节课中我会学到什么？

学习识别可能表明已遭入侵或正在遭受攻击的 IoCs——文件哈希、IP 地址、域名和行为模式。 你通过在浏览器中直接运行的动手代码来练习 Security+ Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Security+ Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Security+ Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。

「入侵指标（IoC）」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Security+ Academy 课中编写并运行代码吗？

能。每节 Security+ Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

  1. 威胁行为者的类型
  2. 攻击向量与攻击面
  3. 威胁情报来源与馈送
  4. 入侵指标（IoC）
← 返回 Security+ Academy