Indicatore di compromissione (IoC)
Un artefatto osservabile che suggerisce il verificarsi di una violazione: l'hash di un file, un indirizzo IP, un nome di dominio, un valore di registro, uno schema in un log. Gli IoC vengono condivisi tra organizzazioni affinché altre possano rilevare la stessa minaccia. Il classico rilevamento «a ricevuta».
Esempi: l'hash di un file malware noto, l'IP o il dominio di un server C2, uno User-Agent sospetto, un'attività pianificata creata da un certo strumento di attacco. Dopo aver analizzato un'intrusione, un'organizzazione pubblica gli IoC (tramite feed di threat intelligence, STIX/TAXII) perché altri possano cercare le stesse tracce nei propri log e sistemi. Limite: gli IoC sono spesso effimeri e facili da cambiare (un attaccante sostituisce IP o hash in fretta) → individuano solo minacce NOTE e la stessa campagna. Per questo vengono affiancati dagli IoA (Indicators of Attack, schemi comportamentali più difficili da cambiare) e dal rilevamento basato sulle TTP (MITRE ATT&CK). Componente centrale del lavoro di un SOC, ma oggi collocato in fondo alla «Pyramid of Pain» (il più facile da aggirare per l'attaccante). Affine a threat intelligence e regola YARA.