Indicateur de compromission (IOC)
Trace technique (adresse IP, nom de domaine, empreinte de fichier) qui signale qu'une attaque est en cours ou a déjà eu lieu.
Définition complète
Un indicateur de compromission (IOC, pour Indicator of Compromise) est, selon le NIST, un artefact technique ou un élément observable qui suggère qu'une attaque est imminente, en cours, ou qu'une compromission a déjà eu lieu.
Il peut s'agir d'une adresse IP ou d'un nom de domaine utilisé par des attaquants, de l'empreinte (hash) d'un fichier malveillant, d'une adresse email d'expédition, d'un nom de processus ou d'une clé de registre caractéristique. Le CERT-FR et les éditeurs de sécurité publient régulièrement des IOC associés aux campagnes observées.
Les IOC servent à chercher dans ses journaux si l'on a été touché, et à bloquer les éléments connus dans le pare-feu, la messagerie ou l'EDR. Leur limite : ils vieillissent vite, car les attaquants changent facilement d'adresse ou de fichier. Ils complètent la détection comportementale sans la remplacer.
Sources : NIST, glossaire CSRC : Indicator of Compromise ; CERT-FR, À propos du CERT-FR
Exemple concret
Le CERT-FR publie une liste d'adresses IP liées à une campagne visant un modèle de VPN. Le prestataire informatique d'une PME de logistique compare cette liste aux journaux du boîtier VPN de l'entreprise et trouve deux connexions réussies depuis l'une de ces adresses la semaine précédente. Le compte concerné est désactivé et une investigation est lancée avant que l'attaquant n'aille plus loin.
Comment se protéger
- Conserver les journaux du pare-feu, du VPN, de la messagerie et des postes pour pouvoir y rechercher des IOC
- Suivre les publications du CERT-FR et les bulletins de ses éditeurs
- Intégrer automatiquement les flux d'IOC fiables dans le pare-feu, l'EDR ou le SIEM
- Retirer les IOC périmés pour éviter les faux positifs
- Partager les IOC découverts lors d'un incident avec son CSIRT ou son prestataire
Questions fréquentes
Il en intègre une partie, mais la recherche dans les journaux réseau et messagerie nécessite d'autres outils (pare-feu, EDR, SIEM) ou un prestataire de supervision.
L'IOC est une trace d'une attaque connue (une adresse, un fichier). L'indicateur d'attaque (IOA) décrit un comportement suspect, indépendamment des outils utilisés par l'attaquant.
Termes liés
Analyste SOC
Professionnel qui surveille en continu le système d'information pour détecter, analyser et qualifier les activités suspectes.
Antivirus
Logiciel détectant et supprimant les programmes malveillants.
CERT et CSIRT
Équipes spécialisées dans la prévention, la détection et le traitement des incidents de cybersécurité ; en France, le CERT-FR et les CSIRT régionaux.
Investigation numérique (forensic)
Analyse des traces laissées sur les systèmes pour comprendre comment une attaque s'est produite, ce qu'elle a touché et comment l'éradiquer.
Vous avez besoin d'un expert en Indicateur de compromission (IOC) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.