IoC (индикаторы компрометации)
Технические свидетельства взлома системы: хеши файлов, IP-адреса, домены, ключи реестра.
Для обмена между организациями стандартизированы через STIX/TAXII. Уровни: «атомарные» (легко изменить — IP), «вычисляемые» (хеши), «поведенческие» (TTP — труднее всего изменить). «Пирамида боли»: удар по верхним уровням приносит больше пользы.