IOC – Indication Of Compromise
IOC nghĩa là Dấu hiệu cho thấy một sự xâm phạm. Khi thu thập IOC, chúng ta nên tìm các thông tin như sau:
- Địa chỉ IP
- Domain name
- User-agent
- Host name
- File Hashes
- Các mẫu hoạt động cụ thể
Ngoài ra, ta nên đặt ra các câu hỏi khi thực hiện tìm kiếm như:
- Những tệp tin độc hại đã được tải xuống là những file nào? Mã hash của file đó là gì?
- Địa chỉ IP và Domain của trang độc hại đó là gì?
- Địa chỉ IP của nạn nhân là gì?
- Hostname của máy nạn nhân là gì?
- Địa chỉ MAC của máy nạn nhân là gì?