São evidências deixadas por um invasor ou software malicioso que podem ser usados para identificar um incidente de segurança. Podem incluir endereços IP, hashes de arquivos, domínios ou URLs maliciosas, entre outros.