charakterystyczne wzorce adresów URL, sposób zakodowania komunikacji z infrastrukturą sterującą czy nietypowe wartości nagłówków HTTP; artefakty systemowe – ślady na zaatakowanej maszynie, takie jak wpisy w rejestrze, pliki zapisywane w określonych katalogach lub nazwy tworzonych usług; narzędzia – oprogramowanie przynoszone przez napastnika, na przykład narzędzia do tworzenia złośliwych dokumentów, tylne wejścia czy programy do łamania haseł.
Na szczycie tego uporządkowania Bianco umieścił taktyki, techniki i procedury (TTP), czyli same zachowania napastnika, wykraczające poza pojęcie pojedynczego wskaźnika.
Piramida bólu Zestawienie to znane jest jako piramida bólu (). Jego zasadniczą tezą jest twierdzenie, że wskaźniki nie są równorzędne: im wyżej w piramidzie znajduje się wykryty typ, tym więcej wysiłku kosztuje napastnika obejście takiego wykrycia.
Sumę kontrolną wystarczy zmienić o jeden bajt w pliku, a adresy IP i domeny bywają wymieniane rutynowo. Wykrycie artefaktu sieciowego zmusza napastnika do znalezienia i poprawienia własnego narzędzia. Skuteczne wykrywanie samych narzędzi wymusza poszukiwanie lub napisanie nowych, co oznacza koszt badań, wytworzenia i nauki obsługi.