网络安全感染指标 (IOC) 是指表明网络或系统已遭到入侵或袭击的信号或证据。例如，IOC 可以是异常的网络流量行为、意外安装软件、用户从异常位置登录或对同一文件的大量请求。
信息安全团队使用感染指标和攻击指标 (IOA) 来分析安全事件。IOA 表明正在发生攻击，而 IOC 则是在发生攻击后进行评估以更好地了解安全事件。
IOC 包括多种类型的数据，例如：
IOC 的监控和分析存在许多挑战。仅仅是每天检测到的海量 IOC 就能让安全团队焦头烂额，更不用说要在现今快速变化的威胁态势下及时更新 IOC。然而，即使是最有效的 IOC 管理也不足以减少威胁风险并防范攻击。
管理 IOC 是一种依靠已知威胁历史数据的被动方法。然而，新型高级威胁可能会绕过基于指标的威胁检测。因此，IOC 只有结合主动安全措施，例如终端安全、实时威胁情报、威胁管理平台和身份访问控制，才能更有效地快速检测出威胁。
网络安全 IOC 是表明可能已发生攻击的证据。安全团队或技术可以监控网络流量、用户和设备行为、文件属性及其他数据，及时发现异常或可疑模式。符合已知感染指标的日志数据可以提醒团队调查并缓解这些潜在威胁。
虽然 IOC 对于识别已知威胁很有效，但它在本质上属于被动措施，无法识别未知或高级攻击。为主动识别当今的复杂威胁，组织通常使用威胁情报平台来跟踪其环境中的 IOC，并获取有关最新威胁与缓解措施的实时信息。
安全团队会监控威胁情报源、安全日志和网络流量，以确定需要进行调查和实施补救的 IOC。定期执行 IOC 安全监控有助于实现以下优势：
及早检测出威胁：通过及早识别 IOC，可提醒团队发生了入侵或攻击，以便他们快速消除威胁并恢复运营。
确定安全事件优先级：监控 IOC 有助于确定安全事件的优先级，并根据事件严重性进行补救，从而立即解决最严重的威胁。
改进响应措施：跟踪并记录 IOC 可帮助响应团队从每次安全事件中吸取经验教训，进而制定更加有效的事件响应计划 (IRP)。
降低安全风险：从攻击中恢复后对事件及其指标进行调查分析，有助于团队发现系统和流程中的漏洞。通过分析，团队可制定更有效的防御措施以抵御将来的类似攻击。
网络 IOC，如已知恶意的域、IP 地址和 URL，表明网络上存在可疑活动。异常流量行为，如进入特定网站的 Web 流量异常增加，也表明网络遭到了入侵。可以使用网络监控工具，如安全信息和事件管理 (SIEM) 解决方案以及入侵检测系统 (IDS)，来检测这些类型的 IOC。
文件感染指标表明恶意下载或恶意软件已感染系统文件。通常使用沙盒工具或者终端检测和响应 (EDR) 软件来扫描文件，以检测已知恶意文件散列、路径或文件名。
行为 IOC 是指偏离正常活动与模式的异常行为。例如，权限升级、针对同一文件的大量请求或登录尝试反复失败都是异常行为，表明可能已发生系统攻击。用户和实体行为分析 (UEBA) 解决方案可监控用户和设备的通信模式，及时发现偏离既定基准的可疑行为。
主机 IOC 可揭示单一计算机、系统或其他终端上的潜在恶意活动。此类活动包括系统设置的意外更改、系统权限更改或在设备上运行可疑进程。要监控终端上的威胁并管理主机 IOC，可使用 EDR 或扩展检测和响应 (XDR) 工具。
用户和设备登录账户的异常信息可能表明攻击者曾试图入侵或已成功入侵。登录尝试多次失败、从异常位置登录或对文件的异常访问，均可能表明攻击者已攻击账户。
当网络流量模式偏离常态时，某些异常可能表明已发生网络攻击。例如，数据传输突然激增或与已知恶意 IP 地址通信，均可能表明攻击者尝试窃取数据。
特权账户的意外使用可能表明存在内部威胁或账户已遭到入侵。管理员更改用户访问权限设置或访问非标准资源，可能表明有人尝试获取未经授权的访问权限。
对敏感文件的请求突然激增，尤其是这些请求均来自同一个用户或 IP 地址时，可能表明攻击者尝试访问机密信息。
域名系统 (DNS) 查询异常（例如对已知恶意域的请求）可能表明攻击者尝试与组织服务器建立命令和控制通信。
系统配置、防火墙规则或访问安全策略遭到意外或未经授权的更改，可能表明有攻击者入侵且其正在尝试削弱防御系统。
系统任务管理器中有未知进程在运行，尤其是这些进程使用常用属性或名称时，可能表明已感染恶意软件。
监控 IOC 对于识别并快速解决攻击至关重要。通过了解这些感染指标，团队还能获得深入洞察，以便更好地缓解漏洞、增强防御机制并更快解决安全事件。
虽然 IOC 是重要的网络安全工具，但它并不是独立的解决方案。要让 IOC 监控发挥最大效力，就必须结合使用可保护组织免受不断翻新花样的威胁影响的高级安全解决方案，例如：
NGIPS 利用 IOC 来检测威胁。高级 NGIPS 系统持续监控用户和设备行为 IOC，提供实时情景威胁分析，增强公共云和私有云中的安全性，并支持网络分段以实现强大的威胁防护。
终端安全解决方案旨在保护连接到网络的设备或终端。扩展检测和响应 (XDR) 解决方案用于监控终端、邮件、服务器、云和网络活动以发现行为感染指标。将这种级别的可视性与 AI 和机器学习相结合，可以在发生极大风险时优先自动执行指导性威胁补救。
SIEM 解决方案可以汇聚 IT 环境中各系统的日志和事件数据、威胁情报以及安全警报。当发生与已知 IOC 关联的活动时，SIEM 解决方案可基于预定义的策略生成不同优先级的警报，同时自动应对潜在安全事件。
IAM 解决方案用于根据用户的数字身份和权限级别，管理用户对资源的访问。为防止未经授权访问敏感资源，这些解决方案使用多重因素来验证用户身份，并持续监控用户和设备行为中是否存在 IOC。
网络分段通过将网络分为多个小部分来实施精细访问控制。如果根据 IOC 检测到入侵，分段可防止攻击在网络中横向传播，从而将损害降至最低。
威胁情报平台是一种网络安全工具，用于汇聚并分析 IOC 等全球各种来源的海量数据，以提供有关新出现网络安全威胁的切实可行的洞察。将网络威胁情报与您的安全架构相集成，可增强威胁检测和响应解决方案，使组织能够根据实时情报主动防范不断翻新花样的网络威胁。
