Indicatore di compromissione
IoC · Una traccia concreta che indica che un sistema è stato compromesso: un indirizzo IP o un dominio dannoso, l'hash di un file dannoso, una voce di registro insolita o una connessione di rete sospetta.
- 01
Perché è importante
Quando un attacco viene rilevato in un punto, gli indicatori che lascia consentono di cercare lo stesso attaccante altrove. Uno dei primi passi nella risposta agli incidenti è raccogliere gli indicatori e fare una ricerca in tutto l'ambiente. Poiché gli attaccanti cambiano spesso indirizzi e file, gli indicatori vanno usati insieme al monitoraggio del comportamento.
- 02
Esempio
L'hash di un file dannoso trovato su un server viene estratto e cercato su ogni computer. Lo stesso file compare su due laptop, rivelando che l'attacco non era limitato a un singolo server.
- 03
Errore comune
Cercare gli indicatori solo dopo che la bonifica è terminata. La ricerca va fatta durante la bonifica; altrimenti un punto d'ingresso tenuto dall'attaccante resta aperto e l'incidente si ripete.
- 04
Termini correlati
Servizi e guide correlati
Parliamo del tuo progetto.
Raccontaci la tua esigenza; definiremo insieme l'ambito.