بنظر من به IOC دیگه نمیشه اونقدری اعتماد کرد ؛ چون IOC میگه این سیستم آلوده شده ، منطقش هم اینه که مثلا یه ip مخرب رو که تو دنیا شناسایی شده تو سطح شبکه دیده .
درنهایت مهاجم با عوض کردن ip از این داستان عبور میکنه

ولی IOA رفتار محور هستش ؛ مثلا به اجرای عجیب یه powershell گیر میده یا تلاش برای دسترسی به یک اکانت یا فایلی رو برسی میکنه .

ولی صد البته که وجود این ۲ لازمه .


@Socroot