Gösterge listesi büyüdükçe değeri artmaz. Bağlamsız IOC, analiste iş çıkarır; kapalı devre bir gürültü kaynağına dönüşür.
IOC beslemesi kurmak teknik olarak kolaydır. Zor olan, listeyi analistin işine yarayacak hale getirmektir.
Üç yaygın sorun
- Son kullanma tarihi yok. Altı ay önce bir kampanyada kullanılan IP, bugün meşru bir hizmet sağlayıcısına ait olabilir.
- Bağlam yok. "Kötü amaçlı" etiketi tek başına aksiyon üretmez. Analist hangi aktör, hangi kampanya ve hangi güven seviyesi olduğunu bilmek ister.
- Kaynak ayrımı yok. Farklı kaynaklardan gelen aynı gösterge tek bir kayda düşerse, kaynağa göre güven ayarı yapılamaz.
Minimum alan seti
Bir göstergeyi beslemeden önce şunlar tanımlı olmalı: tür, değer, ilk görülme, son görülme, kaynak, güven seviyesi, ilişkili aktör/kampanya, geçerlilik süresi.
Bu alanlar yoksa gösterge listesi bir engelleme listesi olarak işe yarayabilir ama istihbarat değildir.
