Gli indicatori di compromissione sono segnali osservabili che indicano che un sistema potrebbe essere stato violato. Possono comparire nei log, nei file, nel traffico di rete o nel comportamento del sistema: orari di accesso insoliti, picchi di autenticazioni fallite, nuovi account amministratore, connessioni in uscita inattese, file web alterati o processi avviati in una catena sospetta. Un indicatore non è di per sé una prova, ma più indicatori insieme possono suggerire con forza un'attività malevola.
Nella sicurezza informatica, gli indicatori di compromissione sono importanti perché aiutano i difensori a rilevare intrusioni, confermare l'estensione dell'impatto e decidere cosa isolare per primo. Su dispositivi esposti come gateway di accesso remoto, gli analisti spesso esaminano i log di autenticazione, i modelli di richiesta, le modifiche alla configurazione e l'integrità dei file alla ricerca di segni di abuso. Durante uno sfruttamento attivo, questi segnali possono mostrare se gli aggressori hanno solo sondato il dispositivo o lo hanno usato come punto d'appoggio per raggiungere servizi interni. Una buona risposta agli incidenti considera gli indicatori di compromissione come indizi per definire l'ambito e contenere l'incidente, non come un singolo test sì-o-no.