Les IoC (Indicators of Compromise) , ou indicateurs de compromission, sont des éléments d’information qui permettent d’identifier une activité malveillante ou suspecte dans un système informatique ou un réseau. Ces indicateurs servent principalement à détecter des intrusions, des infections par des logiciels malveillants, des tentatives de piratage ou toute autre forme de cyberattaque.
👉 Types d’IoC
Les IoC peuvent inclure une variété de données spécifiques, telles que :
- Adresses IP : Des adresses IP connues pour être associées à des activités malveillantes, comme des serveurs de commandes et de contrôle (C2) utilisés par des attaquants.
- Domaines et URL : Des noms de domaine ou des liens web malveillants qui sont utilisés pour distribuer des logiciels malveillants ou voler des informations sensibles.
- Hash de fichiers : Les empreintes digitales (hashes) MD5, SHA-1 ou SHA-256 de fichiers malveillants qui permettent d’identifier des programmes potentiellement dangereux.
- Noms de fichiers ou processus : Des noms de fichiers ou de processus inhabituels ou connus pour être associés à des logiciels malveillants.
- Stratégies d’exfiltration de données : Des comportements anormaux tels que des transferts de données massifs vers des destinations inconnues ou non autorisées.
- Changements dans les configurations système : Par exemple, la modification de registres Windows ou l’ajout de nouvelles entrées dans les scripts de démarrage.
- Fichiers temporaires ou journaux : La présence de fichiers temporaires ou d’entrées de journaux inhabituelles qui indiquent une activité suspecte.
- Adresses email : Des adresses email utilisées dans des campagnes de phishing ou pour envoyer des pièces jointes malveillantes.
- Techniques d’obfuscation : L’utilisation de méthodes pour dissimuler le code malveillant, comme le chiffrement ou le packing.
Les IoC sont essentiels pour les équipes de sécurité car ils permettent de :
- Identifier rapidement les menaces actives dans un environnement.
- Réagir plus efficacement en isolant les systèmes compromis.
- Mettre en place des mesures proactives pour prévenir de futures intrusions.
- Améliorer les capacités de détection grâce à l’apprentissage continu sur les attaques passées.
Cependant, il est important de noter que les IoC se concentrent généralement sur des signaux rétroactifs, c’est-à-dire qu’ils identifient des traces après qu’une intrusion a eu lieu. Pour cette raison, ils doivent être combinés avec d’autres approches de cybersécurité, comme les techniques de détection basées sur le comportement (par opposition aux signatures fixes), afin de repérer des menaces avancées et évolutives.
