侵害指標（IoC）
侵害が起きたことを示唆する観測可能な痕跡。ファイルのハッシュ、IPアドレス、ドメイン名、レジストリ値、ログ内のパターンなど。IoCは組織間で共有され、他者が同じ脅威を検知できるようにする。典型的な「足跡ベース」の検知である。
例：既知のマルウェアファイルのハッシュ、C2サーバーのIP/ドメイン、不審なUser-Agent、特定の攻撃ツールが作るスケジュールタスク。侵入を分析した組織は、脅威インテリジェンスフィードやSTIX/TAXIIでIoCを公開し、他者が自分のログやシステムから同じ痕跡を探せるようにする。限界：IoCは短命で変更が容易なことが多く（攻撃者はIPやハッシュをすぐ変える）、捕捉できるのは既知の脅威と同一のキャンペーンだけだ。そのため、IoA（攻撃指標、変えにくい行動パターン）やTTPベースの検知（MITRE ATT&CK）で補う。SOC業務の中核だが、今日では「Pyramid of Pain」の最下層（攻撃者が最も回避しやすい）と見られている。関連項目は脅威インテリジェンスとYARAルール。