IOA

什么是 IOA（攻击指标）：不靠痕迹，而靠“正在进行的攻击行为”来察觉

IOA（攻击指标）是靠正在进行的攻击的“行为”（提权→横向移动→外部外传）来察觉入侵的思路，与事后痕迹 IOC 成对。哈希和 IP 攻击者一瞬就能改，但手法（行为）难以改变＝IOA 更长效。即便规模小，只要关注“与平时不同的举动”也能靠近这一思路。