Indicadores de aplicación: actividad anómala, cuentas nuevas, salidas inesperadas, cadenas de inyección en logs web

Los indicadores de aplicación son señales de compromiso que aparecen en la forma en que se comporta el software, y no en la actividad bruta de la red o del host. Con frecuencia son la primera pista de que una aplicación web, una base de datos o un sistema de negocio está bajo ataque, porque un atacante que abusa de una aplicación quizá nunca deje un archivo ni abra un puerto inusual. Reconocerlos requiere que sepas cómo se ve lo normal para esa aplicación específica: sus usuarios habituales, sus patrones de solicitudes habituales, su tasa de errores habitual y sus tamaños de respuesta habituales.