Un indicatore hash è una stringa breve e univoca, di solito prodotta da una funzione di hash crittografica come SHA-256, che identifica un file, un messaggio o un post specifico. Se il contenuto sottostante cambia anche solo leggermente, cambia anche l'hash. Nei registri di sicurezza, un hash può fungere da identificatore per un campione, un allegato o un post di rivendicazione quando l'elemento originale non è disponibile o è stato oscurato.
Gli indicatori hash sono importanti perché consentono ai difensori di associare lo stesso oggetto tra log, feed di minacce, report di sandbox e note di caso. Gli analisti li usano per individuare malware noto, confermare se due file sono identici e bloccare o mettere in quarantena artefatti malevoli. Negli attacchi reali, i criminali possono pubblicare o condividere hash per riferirsi a dati rubati o malware, mentre i difensori trattano l'hash come prova per correlare l'attività. Un hash è utile per l'identificazione, ma da solo non dimostra una compromissione né spiega l'impatto.