Güvenlik ihlali göstergesi (IoC)
Bir ihlalin yaşandığını düşündüren gözlemlenebilir iz — dosya özeti (hash), IP adresi, alan adı, kayıt defteri değeri, log’daki bir desen. IoC’ler kuruluşlar arasında paylaşılır, böylece başkaları da aynı tehdidi tespit edebilir. Klasik “makbuz tabanlı” tespit.
Örnekler: bilinen bir zararlı dosyanın hash’i, C2 sunucusunun IP’si veya alan adı, şüpheli bir User-Agent, belirli bir saldırı aracının oluşturduğu zamanlanmış görev. Bir kuruluş bir sızmayı analiz ettiğinde IoC’leri tehdit istihbaratı akışlarıyla (STIX/TAXII) yayımlar; başkaları da kendi log ve sistemlerinde aynı izleri arar. Sınırı: IoC’ler genellikle kısa ömürlü ve değiştirmesi kolaydır (saldırgan IP’yi ya da hash’i hızla değiştirir) → yalnızca BİLİNEN tehditleri ve aynı kampanyayı yakalar. Bu yüzden IoA (Indicators of Attack — davranış desenleri, değiştirmesi daha zor) ve TTP tabanlı tespitle (MITRE ATT&CK) tamamlanır. SOC çalışmasının temel parçası, ama “Acı Piramidi”nde (Pyramid of Pain) en altta, yani saldırganın atlatması en kolay seviyede yer alır.