Indicateur de compromission
IoC · Une trace concrète qui indique qu'un système a été compromis : une adresse IP ou un domaine malveillant, l'empreinte d'un fichier malveillant, une entrée de registre inhabituelle ou une connexion réseau suspecte.
- 01
Pourquoi c'est important
Lorsqu'une attaque est détectée à un endroit, les indicateurs qu'elle laisse permettent de rechercher le même attaquant ailleurs. L'une des premières étapes de la réponse à incident consiste à collecter les indicateurs et à balayer l'ensemble de l'environnement. Comme les attaquants changent souvent d'adresses et de fichiers, les indicateurs doivent être utilisés conjointement à la surveillance des comportements.
- 02
Exemple
L'empreinte d'un fichier malveillant trouvée sur un serveur est relevée et recherchée sur chaque ordinateur. Le même fichier apparaît sur deux ordinateurs portables, ce qui révèle que l'attaque ne se limitait pas à un seul serveur.
- 03
Erreur fréquente
Rechercher les indicateurs seulement après la fin du nettoyage. La recherche doit faire partie du nettoyage ; sinon un point d'entrée conservé par l'attaquant reste ouvert et l'incident se reproduit.
- 04
Termes associés
Services et guides associés
Parlons de votre projet.
Dites-nous votre besoin ; nous définirons le périmètre ensemble.