IoCs
Indicators of Compromise — evidencia técnica de que un sistema está comprometido: hashes de archivos, direcciones IP, dominios, claves de registro.
Se estandarizan mediante STIX/TAXII para compartirse entre organizaciones. Niveles: "atómico" (fácil de cambiar, como una IP), "computado" (hashes), "de comportamiento" (TTP, el más difícil de cambiar). Según la Pyramid of Pain, atacar los niveles más difíciles de imitar da más valor defensivo que perseguir los que un atacante cambia en segundos.