Индикатор компрометации (IoC)
Наблюдаемый артефакт, указывающий на взлом: хеш файла, IP-адрес, доменное имя, значение реестра, шаблон в логе; IoC передают между организациями, чтобы другие находили ту же угрозу — классическое обнаружение «по следам».
Примеры: хеш известного вредоносного файла, IP или домен C2-сервера, подозрительный User-Agent, запланированная задача, которую создаёт определённый инструмент атаки. Разобрав вторжение, организация публикует IoC (через threat intelligence-фиды, STIX/TAXII), чтобы остальные поискали те же следы в своих логах и системах. Ограничение: IoC часто эфемерны и легко меняются (атакующий быстро меняет IP и хеш), поэтому ловят только ИЗВЕСТНЫЕ угрозы и ту же кампанию. Потому их дополняют IoA (индикаторы атаки — шаблоны поведения, которые труднее поменять) и обнаружением по TTP (MITRE ATT&CK). Основа работы SOC, но в «пирамиде боли» IoC стоят на самом низу — их проще всего обойти.