Индикатор компрометации (IOC)
Простыми словами
IOC — наблюдаемый артефакт, по которому можно искать возможные следы атаки: например, хеш файла, домен или путь. Совпадение требует проверки контекста и само по себе не всегда подтверждает инцидент.
Как применяется
IOC обогащают источником, временем актуальности и контекстом, затем ищут в телеметрии и сопоставляют с поведением узла. Устаревшие или слабые индикаторы выводят из активного обнаружения.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Индикатор компрометации (IOC)», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Киберразведка (Threat Intelligence)Threat Intelligence — сбор, анализ и распространение контекстных сведений об угрозах, применимых к решениям по защите.
- Оперативная киберразведкаОперативная киберразведка — разведданные для краткосрочных решений по текущим кампаниям, инцидентам и мерам защиты.
- Техническая киберразведкаТехническая киберразведка — машинно применимые сведения: индикаторы, сигнатуры, хеши, домены и технические артефакты.
Как это работает
- Получить индикаторIOC поступает из расследования, вендора, обмена или собственной аналитики.
- Проверить качествоУточняют источник, время, тип, уверенность и допустимый контекст использования.
- Найти совпаденияИндикатор ищут в релевантной телеметрии с учётом формата и периода.
- Подтвердить либо отклонитьСовпадение связывают с поведением; вывод документируют, индикатор обновляют.
Продолжить изучение
Частые вопросы
Проще говоря, «Индикатор компрометации (IOC)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Индикатор компрометации (IOC)» применяют на практике?В практике ИБ термин «Индикатор компрометации (IOC)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Индикатор компрометации (IOC)» отличается от близких понятий?«Индикатор компрометации (IOC)» описывает следующее: наблюдаемый признак, который может указывать на компрометацию: хеш, домен, IP-адрес, путь, артефакт или иной индикатор. «Киберразведка (Threat Intelligence)» означает: сбор, анализ и распространение контекстных сведений об угрозах, применимых к решениям по защите. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.