Indicador de compromiso
IoC · Un rastro concreto que apunta a que un sistema ha sido comprometido: una dirección IP o un dominio malicioso, el hash de un archivo malicioso, una entrada inusual del registro o una conexión de red sospechosa.
- 01
Por qué importa
Cuando un ataque se detecta en un punto, los indicadores que deja permiten buscar al mismo atacante en otros lugares. Uno de los primeros pasos en la respuesta a incidentes es recopilar indicadores y explorar todo el entorno. Como los atacantes cambian con frecuencia las direcciones y los archivos, los indicadores deben usarse junto con la monitorización de comportamiento.
- 02
Ejemplo
Se toma el hash de un archivo malicioso encontrado en un servidor y se busca en todos los ordenadores. El mismo archivo aparece en dos portátiles, lo que revela que el ataque no se limitaba a un solo servidor.
- 03
Error frecuente
Buscar indicadores solo cuando la limpieza ya ha terminado. La búsqueda debe formar parte de la limpieza; de lo contrario, un punto de entrada que el atacante mantuvo sigue abierto y el incidente se repite.
- 04
Términos relacionados
Servicios y guías relacionados
Hablemos de tu proyecto.
Cuéntenos lo que necesita; definiremos el alcance juntos.