侵害の兆候（IOC）とは、フォレンジック分析で発見されたコンテキスト情報であり、分析担当者が過去に発生した攻撃や進行中の攻撃、ネットワーク侵害、マルウェア感染を把握する上で役立ちます。こうした攻撃の発生時に残される痕跡（アーティファクト）は、IPアドレス、URL、ドメインやハッシュを不正に使用する事例がよく見られます。IOCに関するアラートから問題が発生した可能性を把握することは確かに可能ですが、IOCには、セキュリティ オペレーションセンター（SOC）が優先順位をつけ、侵害を阻止するために迅速に対応できるほどの十分なコンテキストがないことが非常に多い傾向にあります。
この「IOC」という略語はサイバーセキュリティコミュニティで広く使用されていますが、「侵害の兆候」というフレーズは一般に、異常な行動や兆候の疑いのある、あらゆる種類の脅威インテリジェンスを指します。IOCが特定する典型的なシナリオには、上記に加え、ネットワークトラフィックの変化、ランサムウェア攻撃、ID・アクセス管理（IAM）の異常などがあります。
システムが通常のベースライン範囲外のアクティビティを検知した場合、コンテキスト情報は、チームがネットワークに潜む攻撃の種類を明確化し、マルウェア対策手順やデバイスなどのセキュリティ運用を改良するだけでなく、SIEMの構成を変更し、より徹底した調査を効果的に実施する上で役立ちます。
実際に、 Forresterによれば、現在多数のサイバーセキュリティベンダーがさまざまな企業部門へのIOCセキュリティインテリジェンスフィードの普及に努めています。こうした動きは、IOCに関するフィードを別々に利用するのではなく、セキュリティツール内のみでIOCを利用する上でも好都合です。
IOCを特定するプロセスは、分析（ユーザー行動）と脅威インテリジェンスを徹底的に精査し、不審なアクティビティの中から異常なものと正常なものを識別します。繰り返しになりますが、分析担当者と調査担当者が作業を大幅に進めるためには、コンテキストが非常に重要です。
ただし、進行している侵害の初期の兆候を特定するすべてのプロセスが同じか類似しているとは限らず、ビジネスや使用事例により異なります。一般的なIOCの識別方法としては、以下が挙げられます。
IOCは、本質的にデジタルフォレンジック作業の後に不正と疑われるものを特定する手がかりとなるため、その手段や規模はさまざまです。特にIOCの例には次のようなものがあります。
IOCと攻撃の兆候（IOA）には重複する概念がいくつかありますが、分析担当者が問題をIOCかIOAとして判断する材料を把握するには、これらの主な違いに着目することが役立ちます。
アーティファクトについては以前に説明しましたが、コンテキストを追加することで役立つ場合があります。 アーティファクトは通常、本質的に過去の活動に関するものです。 これらは、すでに発生した悪意のあるイベントのデジタルフットプリントであり、特定のインテリジェンスに基づいて 脅威ハンティング を実行することで検出されます。 セキュリティアナリストや脅威ハンターは、外部のアーティファクトライブラリを活用して、自社のネットワークで何を探すべきかを理解することもできます。
アーティファクトを発見し、侵害となる可能性のあるものや進行中の侵害があると判断した後は、インシデント対応計画を実行に移すことができます。セキュリティ担当者が実際の侵害発生をより早期に検知できれば、何が起こったかをより早く特定して対応でき、今後注目すべき種類のアーティファクトについてもヒントを得やすくなります。
IOAは、攻撃の阻止などに活用することができます。攻撃が差し迫っている可能性を示す兆候です。IOAでは、攻撃可能領域が拡大する中で、チームはネットワーク境界を越えるExtended Detection and Response（XDR）脅威テレメトリに基づき、積極的な対応を取ることができます。
適切に解釈すれば、IOAは、チームが将来発生する侵害や進行中の侵害に対応する上で役立ち、加えて攻撃者の行動内容や次に向かう先を予測することにも有用です。したがって、標的となっているシステム、アクセスや漏洩が試行されているデータに基づいて、対応と修正の取り組みに優先順位を付ける上でも非常に役立ちます。
IOCの利点はたくさんありますが、主な利点は、企業が侵害を修復する上で役立ち、将来的に注目すべきと思われれる攻撃者行動の種類に関するコンテキストを提供できることです。その他の利点には以下が含まれます。
MDRプロバイダにとっては、顧客エコシステム全体でIOCを識別できることが最重要となるため、効果的なマネージド検知対応サービス（MDR）プログラムにとってIOCは重要です。
これにより、プロバイダは攻撃者の行動の傾向を見極め、IOCが見つかったときにネット検知機能を構築し、インシデント対応計画を調整し、その情報を主な顧客層に広めることができ、最終的に個々のセキュリティ組織がIOCデータを独自の防止技術に実装できるようになります。
MDRプログラムでは、IOCを活用した侵害対応の通知で得られる効率の向上とコスト削減を考慮することも重要です。とりわけ、MDRプロバイダ推奨のプランの導入に成功した場合や、プロバイダがIOCを自動テストし、それを顧客ログに適用してネットワークにこうした指標が現れたときにアラートを通知するようにした場合には、顧客満足度も高まり、これが企業成長の原動力となります。
これらすべての側面を組み合わせることで、MDRプロバイダは顧客を維持し、自社の運用を改善できるほか、調査結果の共有を通じてより広範なセキュリティコミュニティを強化することができます。