IOC 提取与 YARA 规则

何时使用 / 何时不用

• 用：分析完成后产出 IOC 列表（hash/域名/IP/路径/互斥体）；写 YARA 规则做样本检测；按标准结构出分析报告
• 用：需要把行为证据整理成可复现、可分享的结论
• 不用：还没完成行为/静态分析（IOC 原料在 [[re-behavior]] / [[re-triage]] 产物里）
• 不用：用户只要一句话结论（仍建议至少给 IOC 与证据路径）

工具准备

本技能以静态处理为主（写规则/扫描文件），不运行样本；运行样本只在 [[re-sandbox]] 内（默认沙箱最高原则，见 [[re-analyze/platform-tips]]）。

yara —— 规则引擎

• Linux: apt install yara / dnf install yara / pacman -S yara
• macOS: brew install yara
• Windows/WSL: pip install yara-python（Python 版，跨平台兜底）
• 验证: yara --version；Python: python -c "import yara; print(yara.__version__)"