Indikator på kompromettering (IoC)
En observerbar artefakt som tyder på att ett intrång skett — en fil-hash, en IP-adress, ett domännamn, ett register-värde, ett mönster i en logg. IoC:er delas mellan organisationer så att andra kan upptäcka samma hot. Den klassiska "kvitto-baserade" detektionen.
Exempel: hashen på en känd malware-fil, IP/domän till en C2-server, ett misstänkt User-Agent, en schemalagd uppgift som ett visst angreppsverktyg skapar. När en organisation analyserat ett intrång publicerar de IoC:erna (via threat intelligence-flöden, STIX/TAXII) så andra kan söka i sina egna loggar/system efter samma spår. Begränsning: IoC:er är ofta flyktiga och lätta att ändra (en angripare byter IP/hash snabbt) → de fångar bara KÄNDA hot och samma kampanj. Därför kompletteras de av IoA (Indicators of Attack — beteendemönster, svårare att ändra) och TTP-baserad detektion (MITRE ATT&CK). En grundkomponent i SOC-arbete, men ses idag som lägst i "Pyramid of Pain" (lättast för angriparen att kringgå). Hör ihop med threat intelligence och YARA-regel.