IOC (indicateur de compromission)
Un indicateur de compromission est un indicateur étayé par des preuves de compromission ou d’activité malveillante. Les équipes de sécurité s’en servent pour détecter, contenir et investiguer ; une IP, un domaine, une URL, une empreinte ou une adresse e-mail quelconque n’est qu’un observable tant que les preuves ne justifient pas cette promotion.
Dans « indicateur de compromission », le mot qui travaille est compromission. Un IOC n’est pas n’importe quelle adresse ou empreinte à l’air suspect ; c’est un observable que des preuves relient à une intrusion ou à une activité malveillante : un domaine C2 vu dans un trafic de balise, l’empreinte d’un dropper récupéré sur un disque, une adresse qui a livré un kit de phishing.
Cette distinction compte en exploitation. Un flux de toutes les adresses qui ont un jour balayé un pot de miel est une liste d’observables au signal faible. Un flux d’IOC est une liste de choses sur lesquelles un contrôle doit agir. Mélanger les deux, c’est ainsi qu’une liste de blocage atteint le million d’entrées et commence à refuser des clients.
Les IOC vieillissent aussi. Un domaine utilisé pour du C2 en mars est en parking en juin et revendu en septembre ; l’indicateur était vrai et a cessé de l’être. Un bon renseignement note quand la preuve a été vue pour la dernière fois et laisse la confiance décroître, pour retirer l’IOC avant qu’il ne devienne un faux positif.
Exemple
Trois observables tirés de la même alerte : une empreinte, un domaine, une adresse. L’empreinte correspond à une version connue d’un infostealer, le domaine est son C2 configuré, l’adresse est un nœud de CDN partagé. Deux IOC, et un observable qui reste du contexte.
Dans isMalicious
Une recherche sur isMalicious fait la différence. Le rapport montre quelles sources listent l’observable, pour quelle activité et quand elles l’ont vu pour la dernière fois, et le niveau de confiance dit jusqu’où les preuves autorisent à parler d’IOC plutôt que d’un nom apparu un jour quelque part.
Questions fréquentes
Qu’est-ce que IOC (indicateur de compromission) ?
Un indicateur de compromission est un indicateur étayé par des preuves de compromission ou d’activité malveillante. Les équipes de sécurité s’en servent pour détecter, contenir et investiguer ; une IP, un domaine, une URL, une empreinte ou une adresse e-mail quelconque n’est qu’un observable tant que les preuves ne justifient pas cette promotion.
Quel est le lien entre IOC (indicateur de compromission) et Observable ?
IOC (indicateur de compromission) et Observable sont deux notions clés du renseignement sur les menaces. Un observable est un domaine, une adresse IP, une URL, une empreinte de fichier, une adresse e-mail, un numéro de téléphone ou une adresse de portefeuille que l’on peut examiner au cours d’une investigation. Un observable soumis n’est ni automatiquement malveillant, ni automatiquement un indicateur de compromission.
Termes liés
Observable
Un observable est un domaine, une adresse IP, une URL, une empreinte de fichier, une adresse e-mail, un numéro de téléphone ou une adresse de portefeuille que l’on peut examiner au cours d’une investigation. Un observable soumis n’est ni automatiquement malveillant, ni automatiquement un indicateur de compromission.
Indicateur
Un indicateur est un observable dont les preuves le rendent pertinent pour une investigation ou une détection. Il ne devient un indicateur de compromission que lorsque les preuves étayent une compromission ou une activité malveillante.
TTP (tactiques, techniques et procédures)
Les TTP décrivent le comportement des attaquants : les objectifs de haut niveau qu’ils poursuivent (tactiques), les méthodes employées pour les atteindre (techniques) et les actions détaillées et reproductibles qui mettent en œuvre ces méthodes (procédures). Le cadre MITRE ATT&CK recense les TTP d’adversaires réels.
Renseignement sur les menaces
Le renseignement sur les menaces est une connaissance fondée sur des preuves : infrastructures observées, comportements, campagnes et intentions probables. Il associe les observations de sources à du contexte, pour qu’une équipe puisse décider d’une détection, d’un tri, d’un confinement ou d’une réponse.
Flux de menaces
Un flux de menaces est un flot structuré et continuellement mis à jour d’IOC et de données de menace, issu d’une source unique ou d’un agrégateur. Les outils de sécurité l’ingèrent pour tenir à jour leurs blocklists et leurs règles de détection. Exemples : Spamhaus DROP, abuse.ch URLhaus, CISA KEV.
Mettez ce renseignement au travail
Interrogez les indicateurs indexés — IP, domaines, URL et empreintes — en quelques secondes.