Pyramid of Pain(痛みのピラミッド).

Pyramid of Pain は、David Bianco が 2013 年に提唱したモデルで、侵害指標(IoC)を「攻撃者がそれを変更するコスト」の観点で下から上に並べます。下から順に、ハッシュ値(取るに足らない)、IP アドレス(容易)、ドメイン名(単純)、ネットワーク・ホストアーティファクト(厄介)、ツール(挑戦的)、TTP——戦術・技術・手順(困難)。下層の指標を検知してもすぐにローテーションされるため効果は短命で、一方ツールや TTP の検知は攻撃者にオペレーションそのものの再設計を強います。本モデルは検知プログラムの評価、シグネチャ偏重から振る舞い分析へのシフトの根拠、そして「個別 IP やハッシュのブロックよりも TTP ベース検知(Sigma ルール、EDR の振る舞い)が持続可能」と経営層に説明する際に広く用いられます。