Un indicatore di compromissione, o IOC, è un indizio tecnico che può segnalare attività malevola su un sistema o una rete. Gli IOC comuni includono voci di log sospette, indirizzi IP notoriamente dannosi, hash di file insoliti, account creati di recente, processi inattesi o tracce di malware ed esfiltrazione di dati. Un IOC non è una prova in sé; è un elemento che deve essere correlato con altri log e artefatti.
Gli IOC sono importanti perché aiutano i difensori a rilevare intrusioni, valutare l'entità del danno e cercare attività correlate su endpoint, email, servizi cloud e server. In incidenti reali, un hash, un dominio o un modello di accesso può essere analizzato come IOC per verificare se corrisponde a malware, movimento laterale o manomissione dei backup. Nel contesto di accuse pubbliche di estorsione, un hash o un obiettivo nominato può sembrare allarmante, ma i difensori devono comunque effettuare una verifica indipendente sui log conservati e sugli artefatti degli endpoint prima di considerarlo una compromissione confermata.