edrが攻撃検知に用いる情報の事をioc(indicator of compromise、侵害痕跡)と呼び、具体的にはファイルの作成、レジストリーの変更、通信したipアドレス、ファイルやプロセスのハッシュ値などがある。