IOC（入侵指標）是用來判斷自己是否已被入侵的線索。本文從防禦視角講解它的含義與種類、用法，以及不可過度依賴的理由（不涉及攻擊手法）。
IOC 的主要種類
按「痕跡留在哪裡」大致分為 4 類。
| 種類 | 例子 | 在哪裡比對 |
|---|---|---|
| 網路類 | 攻擊者伺服器的 IP/網域、C2 的 URL | 防火牆/代理/DNS 紀錄 |
| 檔案類 | 惡意軟體的 SHA-256 雜湊、特徵性檔名 | EDR/防毒軟體/檔案清單 |
| 主機類 | 可疑的登錄檔機碼、陌生的常駐程序 | 作業系統紀錄・程序清單 |
| 行為類 | 與平時不同的時間/國家的登入、突發的大量通訊 | 認證紀錄・通訊量監控 |
IOC 與 IOA — 「痕跡」與「行為」
常被拿來對比的是 IOA（Indicator of Attack＝攻擊指標）。理解了二者的區別，就能看清 IOC 的長處與短處。
IOC（入侵指標）＝結果的痕跡
- 已經發生之事的證據（雜湊・IP 等）
- 能對已知惡意機械地命中＝快
- 但攻擊者可以輕易更換（用完即棄）
- 本質上是事後追溯
IOA（攻擊指標）＝進行中的行為
- 「權限提升→橫向移動→對外傳送」等手法的流程
- 能在接近即時的階段察覺
- 比痕跡更難更換（因為它是攻擊的本質）
- 需要理解其機理，因此落地較重
對攻擊者而言的「更換難易度」（痛苦金字塔）
同樣是 IOC，攻擊者更換它的成本（＝我們卡住它時的效果）也天差地別。越往下越容易更換，越往上越難更換。
也就是說，雜湊和 IP 的比對見效快，但代價是很快就會過時。越是連手法（對方會怎麼打過來）都理解到位地去防備，防禦就越能持久。
小團隊也能做的 IOC 用法
即使沒有專門的 EDR 或威脅情資訂閱，現實中也有可以做的事。
從可信來源取得 IOC
與自己的紀錄・相依套件比對
一旦命中就隔離並調查
記錄自己環境的 IOC 並排查其他終端
實際案例：什麼成了比對的線索
IOC 不只是 IP 位址與雜湊。在本站介紹過的供應鏈案例中，套件的「版本」本身就是最先要確認的東西。
| 案例 | 線索 | 使用者確認了什麼 |
|---|---|---|
| XZ Utils（2024） | 含有惡意程式碼的版本（5.6.0 與 5.6.1） | 自己的作業系統或容器中是否有這些版本。美國 CISA 建議降版到 5.4.6 等未受汙染的版本 |
| Codecov（2021） | 散布的指令碼雜湊（SHA-256）與官方值不符 | 竄改是因為有一家公司做了這項檢查才被發現。使用者確認了自己在 CI 中執行它多久、它能觸及哪些機密 |
| Trivy（2026，英文） | 遭惡意發布的版本（v0.69.4 等）與公布的檢查項目 | CI 在該期間是否使用了這些版本或標籤。若有，就輪替所有認證資訊 |
三起案例中，線索都由受害方或當局公布，比對則由使用者自己進行。官方公告一出來，先確認自己的環境中是否有相同的版本或雜湊。這就是使用 IOC 的基本方式。
IOC 有保存期限
IETF 關於處理 IOC 的文件 RFC 9424（2023）描述了 IOC 從發現、評估、共享、部署、偵測、因應到終止的管理流程。之所以有最後一個階段，是因為 IOC 會過時。
- 攻擊者棄用的 IP 位址與網域，之後可能被正當的服務重新使用。依舊清單封鎖，可能擋到正常流量
- 只要改動一個位元組，雜湊就會不同，所以同一攻擊的新建置版本不會命中
- 因此要記錄每個 IOC 的日期與來源，並定期重新檢視
如何在自己的環境中比對 IOC
即使沒有專門的產品，也能自己比對三類公布的 IOC：版本、雜湊與網域。
- 版本：把 lockfile 貼到相依套件漏洞掃描器，看是否含有已知的惡意或有漏洞的版本。作業系統的套件，請用各自的命令確認版本，例如
xz --version - 雜湊：用
sha256sum 檔案（Windows 為certutil -hashfile 檔案 SHA256）計算下載檔案的值，與官方值或公布的 IOC 比對 - 網域與 IP：在 DNS 紀錄與 Web 伺服器存取紀錄中搜尋公布的網域或 IP。沒有紀錄的期間無法確認，所以也要確認紀錄的保存期間
一旦命中，就切離相關的裝置、金鑰或權杖，並進入上面的步驟 3。
本站的觀點：IOC 用於事後確認入侵，首要目標是防止入侵
IOC 比對很重要，但它是在入侵發生之後確認痕跡的工作。等到能找到痕跡時，早就已經被入侵了。所以本站把 IOC 比對作為排查工具保留在手，而把重心放在防止入侵的設計上：最小權限・迅速打修補程式（CVE 監控）・抗釣魚 MFA・不要把機密以明文存放。依賴事後痕跡比對的防禦，永遠會慢半拍。用痕跡察覺入侵的能力，和防止入侵的能力，兩者都需要。
出處（一手資料）
- IETF RFC 9424, "Indicators of Compromise (IoCs) and Their Role in Attack Defence"（2023 年 8 月）— rfc-editor.org（IoC 的定義、痛苦金字塔、IoC 的生命週期與終止）
- 美國 CISA, "Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094"（2024 年 3 月 29 日）— cisa.gov（受影響版本與建議措施）
- Codecov 與 Trivy 的出處列在各案例的解說中
接下來閱讀
- 術語：什麼是 IOA（攻擊指標） / 什麼是 C2 / 什麼是 EDR / 什麼是 CVE（漏洞的識別碼） / 什麼是勒索軟體 / 什麼是釣魚
- 案例：XZ Utils 後門 / Trivy 供應鏈入侵（英文）
- 檢查自己的網站：如何確認網站或伺服器是否被入侵
- 復原：備份與復原基礎