Příklady zahrnují hash známého škodlivého souboru, neočekávaný záznam perzistence, podezřelou doménu, vzor příkazu nebo charakteristické síťové spojení.
IoC je vodítko, nikoli automatický důkaz. Analytici musí zvážit zdroj, kontext, načasování a možnost legitimního znovupoužití či záměrného klamu. Některé indikátory — zejména infrastruktura ovládaná útočníkem — se mění rychle, zatímco artefakty vázané na chování mohou zůstat užitečné déle.
Indikátory sahají od snadno měnitelných artefaktů — hashů souborů, adres IP, domén — po obtížněji padělatelné vzorce chování jako nástroje, techniky a sekvence; narušení behaviorálních indikátorů stojí protivníka daleko více než rotace adresy. Indikátory také stárnou: infrastruktura je recyklována a přeregistrována, takže skóre jistoty, časy prvního a posledního pozorování a pravidla expirace jsou stejně důležité jako samotný seznam indikátorů.
Klíčové body
Primární účelPodporovat detekci, lov hrozeb, vymezení rozsahu a vyšetřování.
Kde se objevujeData koncových zařízení, identit, e-mailu, sítě, cloudu, aplikací a informace o hrozbách.
Dobrá praxeZaznamenávejte původ, jistotu, časy prvního a posledního pozorování, kontext a podmínky expirace či přezkumu.
Důležité omezeníShoda může být falešná nebo historická, zatímco absence známého IoC neukazuje, že prostředí je čisté.