IOC مقابل IOA: ما الفرق وكيفية استخدامهما
يبدأ IOC مقابل IOA بسؤال أو سلوك نريد تحديده، ثم ينتقل إلى تعريف القياسات المنفصلة (Telemetry) والمنطق، وينتهي بالاختبارات، والضبط (Tuning)، والتوثيق، والنشر المتحكم به. تقاس الجودة بالتغطية والقدرة على التحقيق.
يقوم Threat Hunting و Detection Engineering بتحويل المعرفة حول سلوك الخصم إلى أسئلة قابلة للقياس، ومصادر بيانات، وقواعد كشف. الهدف ليس توليد المزيد من التنبيهات، بل تحسين التغطية وجودة القرار. تركز هذه المقالة على IOC مقابل IOA وهي مخصصة لمحللي SOC المبتدئين. الهدف هو تقديم منهجية عمل يمكن تطبيقها في التدريب، وفي مقابلة مهنية، وفي بيئة العمل، دون الاكتفاء بتعريف معجمي.
التحدي الرئيسي هو أن البيانات غالبًا ما تكون جزئية. يمكن أن يشير hash/domain/IP، السلوك، ومدة الصلاحية (shelf life) إلى اتجاه معين، ولكن معناها يعتمد على الوقت، والأصول، والمستخدم، والنشاط المتوقع. لذلك سنبني الاختبار حول سؤال بحثي، وأدلة مطلوبة، ومعيار واضح للانتهاء.
السيناريو العملي في المقال هو: تصنيف عشرة مؤشرات إلى IOC، IOA، أو كلاهما. جميع الأمثلة هي بيانات معملية أو وصف عمليات. عند التعامل مع Penetration Testing، أو Web، أو Cloud، يجب العمل فقط بموافقة صريحة، ونطاق محدد، والقدرة على إيقاف الاختبار.
