Data dodania: 18-05-2025
Znany również jako:
Indicator of CompromiseWskaźnik KompromitacjiWskaźnik Naruszenia
Definicja IoC
Indicator of Compromise (IoC) to dowód techniczny sugerujący, że system lub sieć mogły zostać naruszone. IoC może przyjmować formę adresów IP, haszów plików, nazw domen, ciągów znaków w logach czy charakterystycznych wzorców zachowań. Wskaźniki te są wykorzystywane do szybszego wykrywania ataków, analizy incydentów i korelacji danych w systemach bezpieczeństwa.
Przykładowe typy IoC
| Typ IoC | Przykład | Opis |
|---|---|---|
| Adres IP | 185.234.219.15 |
Źródło znane z działalności botnetowej |
| Hash pliku | e99a18c428cb38d5f260853678922e03 |
MD5 złośliwego pliku wykonywalnego |
| Domena | malicious-login[.]com |
Adres używany w kampaniach phishingowych |
| URL | http://example.com/dropper.exe |
Link do pobrania malware |
| Sygnatura YARA | Reguła wykrywająca exploit-kity | Wzorce plikowe lub pamięciowe |
| Ciąg znaków | powershell -nop -w hidden |
Fragment polecenia używanego w ataku |
Rola IoC w cyberbezpieczeństwie
- Detekcja zagrożeń – IoC są weryfikowane przez systemy SIEM, XDR i IDS w celu wykrycia podejrzanych aktywności.
- Threat intelligence – dostawcy CTI publikują paczki IoC jako część raportów o kampaniach APT.
- Reakcja na incydenty (IR) – analitycy SOC używają IoC do korelacji zdarzeń i ograniczenia wpływu ataku.
- Zgodność z regulacjami – wiele standardów, takich jak NIS2, wymaga śledzenia i dokumentowania IoC.
Cykl życia IoC
- Identyfikacja – pozyskanie wskaźników z analizy malware lub zewnętrznych źródeł CTI.
- Weryfikacja – ocena precyzji i unikalności IoC (np. fałszywe pozytywy).
- Dystrybucja – import do systemów SIEM, EDR, firewalli lub SOAR.
- Eksploatacja – wykrywanie i blokowanie zagrożeń.
- Eksploracja – rozszerzenie analizy o powiązane IoC i korelacje.
Wyzwania i ograniczenia
- Krótki czas przydatności – atakujący często zmieniają infrastrukturę C2 i IoC przestają być aktualne.
- False positives – niektóre IoC (np. domeny współdzielone) mogą wywoływać fałszywe alarmy.
- Brak kontekstu – same IoC nie wskazują intencji ani wektora ataku.
- Duplikacja – te same wskaźniki mogą pojawić się w różnych źródłach, utrudniając zarządzanie.
Trendy i przyszłość
- STIX/TAXII – standaryzowane formaty wymiany IoC między organizacjami.
- Threat Enrichment – łączenie IoC z dodatkowymi atrybutami kontekstowymi (np. geolokalizacja, typ APT).
- AI w klasyfikacji IoC – uczenie maszynowe do oceny skuteczności wskaźników.
- IOC-as-a-Service – dostęp do komercyjnych feedów IoC w modelu subskrypcyjnym.