Przykłady to znany złośliwy hasz pliku, nieoczekiwany wpis utrwalenia, podejrzana domena, wzorzec poleceń lub charakterystyczne połączenie sieciowe.
IoC to trop, a nie automatyczny dowód. Analitycy muszą rozważyć źródło, kontekst, timing i możliwość legalnego ponownego użycia lub celowego oszustwa. Część wskaźników — zwłaszcza infrastruktura kontrolowana przez atakującego — zmienia się szybko, a artefakty związane z zachowaniem mogą pozostawać użyteczne dłużej.
Wskaźniki sięgają od łatwych do zmiany artefaktów — haszy plików, adresów IP, domen — do trudniej podrabialnych zachowań, takich jak narzędzia, techniki i sekwencje; zakłócenie wskaźników behawioralnych kosztuje przeciwnika znacznie więcej niż rotacja adresu. Wskaźniki też starzeją się: infrastruktura jest recyklingowana i rejestrowana na nowo, więc wyniki pewności, czasy pierwszego i ostatniego zaobserwowania oraz zasady wygasania mają takie samo znaczenie jak sama lista wskaźników.
Najważniejsze punkty
Główny celWspierać wykrywanie, aktywne wyszukiwanie zagrożeń, określanie zakresu i dochodzenie.
Gdzie występujeDane punktów końcowych, tożsamości, poczty, sieci, chmury, aplikacji i informacji o zagrożeniach.
Dobra praktykaRejestruj pochodzenie, pewność, czasy pierwszego i ostatniego zaobserwowania, kontekst oraz warunki wygasania lub przeglądu.
Istotne ograniczenieDopasowanie może być fałszywe lub historyczne, a brak znanego IoC nie pokazuje, że środowisko jest czyste.