Exemplele includ un hash de fișier cunoscut ca malițios, o intrare de persistență neașteptată, un domeniu suspect, un tipar de comandă sau o conexiune de rețea caracteristică.
Un IoC este o pistă, nu o dovadă automată. Analiștii trebuie să ia în calcul sursa, contextul, momentul și posibilitatea reutilizării legitime sau a înșelăciunii deliberate. Unii indicatori — în special infrastructura controlată de atacator — se schimbă rapid, în timp ce artefactele legate de comportament pot rămâne utile mai mult.
Indicatorii variază de la artefacte ușor de schimbat — hash-uri de fișiere, adrese IP, domenii — la comportamente mai greu de falsificat precum instrumente, tehnici și secvențe; perturbarea indicatorilor comportamentali costă adversarul mult mai mult decât rotirea unei adrese. Indicatorii și îmbătrânesc: infrastructura este reciclată și reînregistrată, așa că scorurile de încredere, momentele primei și ultimei observări și regulile de expirare contează la fel de mult ca lista de indicatori în sine.
Puncte esențiale
Scop principalSusținerea detecției, vânătorii de amenințări, delimitării și investigării.
Unde apareDate de endpoint, identitate, e-mail, rețea, cloud, aplicații și informații despre amenințări.
Bune practiciÎnregistrați proveniența, încrederea, momentele primei și ultimei observări, contextul și condițiile de expirare sau revizuire.
Limitare importantăO potrivire poate fi falsă sau istorică, iar absența unui IoC cunoscut nu arată că un mediu este curat.