La condivisione di indicatori è lo scambio di indizi che aiutano i difensori a identificare attività malevole correlate tra sistemi, servizi o organizzazioni. Questi indizi possono includere domini sospetti, indirizzi IP, hash di file, nomi di account, modelli di messaggi, dettagli dell'infrastruttura o caratteristiche comportamentali. L'obiettivo non è solo individuare un singolo evento dannoso, ma riconoscere una campagna più ampia.
È importante perché gli aggressori spesso riutilizzano gli stessi strumenti, account e infrastrutture. Quando un difensore trova indicatori utili e li condivide con pari o autorità, altri possono bloccare più rapidamente le attività correlate, cercare account collegati e mettere in relazione incidenti che altrimenti sembrerebbero non connessi. In pratica, la condivisione di indicatori supporta il threat hunting, il rilevamento delle frodi e le azioni coordinate di smantellamento. È particolarmente importante quando l'abuso sfrutta un accesso legittimo, poiché potrebbe non esserci una firma di malware da rilevare. Una buona condivisione è precisa, tempestiva e verificata, così i difensori possono agire senza generare falsi positivi inutili.