Indicator of compromise (IoC)
Een waarneembaar spoor dat op een inbreuk wijst: een bestandshash, een IP-adres, een domeinnaam, een registerwaarde, een patroon in een log. Organisaties delen IoC's zodat anderen dezelfde dreiging kunnen herkennen. Klassieke detectie op basis van «bonnetjes».
Voorbeelden: de hash van een bekend malwarebestand, het IP-adres of domein van een C2-server, een verdachte User-Agent, een geplande taak die een bepaalde aanvalstool aanmaakt. Na een analyse van een inbraak publiceert een organisatie de IoC's (via threat-intelligencefeeds, STIX/TAXII) zodat anderen hun eigen logs en systemen op dezelfde sporen kunnen doorzoeken.
Beperking: IoC's zijn vaak vluchtig en makkelijk te wijzigen (een aanvaller wisselt zó van IP of hash), dus ze vangen alleen BEKENDE dreigingen en dezelfde campagne. Daarom worden ze aangevuld met IoA (Indicators of Attack: gedragspatronen, lastiger te veranderen) en detectie op basis van TTP's (MITRE ATT&CK). Een kernonderdeel van SOC-werk, maar in de «Pyramid of Pain» staan ze onderaan: voor de aanvaller het makkelijkst te omzeilen.