Un indicatore di rete è un dettaglio osservabile nell'attività di rete che può aiutare a identificare o indagare una minaccia informatica. Tra gli esempi figurano un dominio o un indirizzo IP contattato da un malware, uno schema di connessione insolito o traffico collegato a un servizio noto per essere dannoso. Gli indicatori sono indizi, non prove di per sé: servizi legittimi possono condividere la stessa infrastruttura e gli aggressori possono modificare o riutilizzare le risorse di rete.
I difensori usano gli indicatori di rete per cercare nei log, monitorare le connessioni e creare regole di rilevamento o blocco. Durante un sospetto incidente legato a un malware, un team di sicurezza potrebbe verificare se i dispositivi hanno contattato un dominio sospetto e usare il risultato per orientare ulteriori indagini. Nei report sulle app dannose, gli indicatori possono aiutare a collegare un'app a un'infrastruttura esterna, ma per trarre conclusioni affidabili servono prove a supporto, come dati di telemetria o campioni di malware.