IoCとは？あいおーしー
IoC（Indicator of Compromise：侵害指標）は、攻撃者による侵害が起きたことを示す観測可能な痕跡で、攻撃に使われたIPアドレス、ドメイン名、URL、マルウェアのハッシュ値、レジストリキー、特徴的な通信パターンなどを指す。組織間で共有し、自組織のプロキシ・DNS・EDRのログと突き合わせて、すでに侵害されていないかを調べる。記述形式のSTIX、交換手順のTAXII、共有範囲を示すTLPとセットで出る。
最終更新：2026-10-06
この語が出る過去問を解く →背景
標的型攻撃は1組織を狙って何か月も潜伏するため、自組織のログだけを見ていても「これが攻撃だ」と気づけない。他組織が受けた攻撃の痕跡を先に受け取れば、同じ攻撃者の同じインフラを自分のログから探せる。そのために痕跡を機械可読な形で共有する枠組みが整えられた。支援士では、脅威インテリジェンスの利用として、IoCをどこ（プロキシ・DNSシンクホール・EDR）に当てて検知と遮断につなげるかが問われる。
具体例
JPCERT/CCやIPAのJ-CSIPは、参加組織から届いた標的型攻撃メールの送信元や接続先ドメインをIoCとして共有している。受け取った側はEDR（Microsoft Defender for Endpointなど）のインジケータに登録して端末側で遮断し、プロキシのログを過去にさかのぼって検索して、接続履歴があれば侵害調査に入る。
試験での引っ掛け
IoCは「攻撃が起きた痕跡」であり、攻撃を予知するものではない。IPアドレスやハッシュ値は攻撃者が簡単に変えられるため、手口・戦術に着目したTTP（Tactics, Techniques, Procedures）のほうが変化しにくい指標として重視される。またソフトウェア設計の IoC（Inversion of Control：制御の反転、DIコンテナやフレームワークが制御を握る設計原則）とは同じつづりの別物で、脅威情報の文脈ならこちら。
関連用語
出た過去問
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
IoC（Indicator of Compromise）に該当するものはどれか。
正解：あるネットワーク機器のログに残されたC&Cサーバとの通信履歴
要点：IoCは侵害が起きたことを示す観測可能な痕跡情報
IoCは、侵害の痕跡として観測される具体的な指標のことで、マルウェアのハッシュ値、C&Cサーバのドメイン名やIPアドレス、不審な通信ログやレジストリの変更などが該当します。すでに起きた（あるいは進行中の）侵害を検知・調査するための手掛かりである点が、まだ悪用されていない脆弱性情報や、防御のための設定値との違いです。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (5) セキュリティ情報共有技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。