Definicja IoC
Indicator of Compromise (IoC) to dowód techniczny sugerujący, że system lub sieć mogły zostać naruszone. IoC może przyjmować formę adresów IP, haszów plików, nazw domen, ciągów znaków w logach czy charakterystycznych wzorców zachowań. Wskaźniki te są wykorzystywane do szybszego wykrywania ataków, analizy incydentów i korelacji danych w systemach bezpieczeństwa.
Przykładowe typy IoC
| Typ IoC | Przykład | Opis |
|---|---|---|
| Adres IP | 185.234.219.15 |
Źródło znane z działalności botnetowej |
| Hash pliku | e99a18c428cb38d5f260853678922e03 |
MD5 złośliwego pliku wykonywalnego |
| Domena | malicious-login[.]com |
Adres używany w kampaniach phishingowych |
| URL | http://example.com/dropper.exe |
Link do pobrania malware |
| Sygnatura YARA | Reguła wykrywająca exploit-kity | Wzorce plikowe lub pamięciowe |
| Ciąg znaków | powershell -nop -w hidden |
Fragment polecenia używanego w ataku |
Rola IoC w cyberbezpieczeństwie
- Detekcja zagrożeń – IoC są weryfikowane przez systemy SIEM, XDR i IDS w celu wykrycia podejrzanych aktywności.
- Threat intelligence – dostawcy CTI publikują paczki IoC jako część raportów o kampaniach APT.
- Reakcja na incydenty (IR) – analitycy SOC używają IoC do korelacji zdarzeń i ograniczenia wpływu ataku.
- Zgodność z regulacjami – wiele standardów, takich jak NIS2, wymaga śledzenia i dokumentowania IoC.
Cykl życia IoC
- Identyfikacja – pozyskanie wskaźników z analizy malware lub zewnętrznych źródeł CTI.
- Weryfikacja – ocena precyzji i unikalności IoC (np. fałszywe pozytywy).
- Dystrybucja – import do systemów SIEM, EDR, firewalli lub SOAR.
- Eksploatacja – wykrywanie i blokowanie zagrożeń.
- Eksploracja – rozszerzenie analizy o powiązane IoC i korelacje.
Wyzwania i ograniczenia
- Krótki czas przydatności – atakujący często zmieniają infrastrukturę C2 i IoC przestają być aktualne.
- False positives – niektóre IoC (np. domeny współdzielone) mogą wywoływać fałszywe alarmy.
- Brak kontekstu – same IoC nie wskazują intencji ani wektora ataku.
- Duplikacja – te same wskaźniki mogą pojawić się w różnych źródłach, utrudniając zarządzanie.
Trendy i przyszłość
- STIX/TAXII – standaryzowane formaty wymiany IoC między organizacjami.
- Threat Enrichment – łączenie IoC z dodatkowymi atrybutami kontekstowymi (np. geolokalizacja, typ APT).
- AI w klasyfikacji IoC – uczenie maszynowe do oceny skuteczności wskaźników.
- IOC-as-a-Service – dostęp do komercyjnych feedów IoC w modelu subskrypcyjnym.