เครื่องผู้ใช้เชื่อมต่อ IP อันตรายเพียงครั้งเดียว ควรสรุปว่าติดมัลแวร์หรือไม่
กใช่แน่นอน โดยถือว่าเป็นแนวทางหลักที่หน่วยงานควรใช้ในทุกกรณี
ขลบเครื่องทันที และใช้เป็นเกณฑ์เดียวสำหรับการดำเนินงานของหน่วยงานทั้งหมด
คไม่เกี่ยวแน่นอน โดยไม่ต้องพิจารณานโยบาย บทบาท หรือความเสี่ยงด้านข้อมูลเพิ่มเติม
งยังสรุปไม่ได้ ต้องตรวจ process เวลา DNS ผู้ใช้ และข้อมูล threat intelligence
เฉลยอธิบาย
indicator ต้องวิเคราะห์บริบทและความน่าเชื่อถือ ไม่ใช้ค่าหนึ่งตัดสินทั้งหมด