В зависимости от типа обработанного объекта, в окне результатов поиска индикаторов компрометации могут отображаться следующие данные:
ARP-протокол:
IP-адрес из ARP-таблицы.
Физический адрес из ARP-таблицы.
DNS-запись:
Тип и имя записи DNS.
IP-адрес защищаемого компьютера.
Событие в журнале Windows:
Идентификатор записи в журнале событий.
Имя источника данных в журнале.
Имя журнала.
Учетная запись пользователя.
Время события.
Файл:
MD5-хеш файла.
SHA256-хеш файла.
Полное имя файла (включая путь).
Размер файла.
Порт:
Удаленный IP-адрес, с которым было установлено соединение в момент проверки.
Удаленный порт, с которым было установлено соединение в момент проверки.
IP-адрес локального адаптера.
Порт, открытый на локальном адаптере.
Протокол в виде числа (в соответствии со стандартом IANA).
Процесс:
Имя процесса.
Аргументы процесса.
Путь к файлу процесса.
Windows идентификатор (PID) процесса.
Windows идентификатор (PID) родительского процесса.
Имя учетной записи пользователя, запустившего процесс.
Дата и время запуска процесса.
Служба:
Имя службы.
Описание службы.
Путь и имя DLL-службы (для svchost).
Путь и имя исполняемого файла службы.
Windows идентификатор (PID) службы.
Тип службы (например, драйвер ядра или адаптер).
Статус службы.
Режим запуска службы.
Пользователь:
Имя учетной записи пользователя.
Том:
Наименование тома.
Буква тома.
Тип тома.
Реестр:
Значение реестра Windows.
Значение куста реестра.
Путь к ключу реестра (без куста и без имени значения).
Параметр реестра.
Переменные окружения:
Физический адрес (MAC) защищаемого компьютера.
Система (окружение).
Имя ОС с версией.
Сетевое имя защищаемого устройства.
Домен или группа, к которой принадлежит защищаемый компьютер.
В разделе IOC отображается структура IOC-файла. При совпадении обработанного объекта с одним из условий IOC-правила, это условие подсвечивается. Если обработанный объект совпадает с несколькими условиями, выделяется текст всей ветки.