IoCs Indicators of Compromise
Tekniska bevis på att ett system är komprometterat — fil-hashes, IP-adresser, domäner, registry-nycklar.
Standardiserade via STIX/TAXII för delning mellan organisationer. Mätare: "atomic" (ändras lätt — IP), "computed" (hashes), "behavioral" (TTP — svårast att ändra). Pyramid of Pain: attackera de svårare nivåerna ger mer värde.