1.Collecter
2.Qualifier
3.Corréler
4.Répondre
Ce que l'instance montre
Entités de menace
Un projet par entité : acteur, campagne, outil, malware, vulnérabilité, infrastructure.
Indicateurs
Une tâche par observable : adresse, domaine, empreinte, URL, avec sa date d'émission et sa confiance.
Atypies
Les indicateurs marqués atypiques par le corpus le disent dans leur description.
Démonstration. Centre de supervision fictif de démonstration : aucun indicateur réel, aucune menace réelle. Un observable du jumeau ne désigne jamais une ressource existante.