Indicateurs de compromission (IoC)
Traces techniques d'une intrusion (empreintes de fichiers, adresses IP, domaines, clés de registre) que les défenseurs partagent pour la détecter ailleurs, et que la notification à 72 heures de la directive NIS2 (Network and Information Security) demande lorsqu'elles sont disponibles.
Un indicateur de compromission (IoC) est une trace technique laissée par une intrusion : empreinte SHA-256 (Secure Hash Algorithm) d'un binaire malveillant, adresse IP d'un serveur de commande, nom de domaine, clé de registre créée pour la persistance, tâche planifiée au nom anodin. Le 17 novembre 2022, la CISA (Cybersecurity and Infrastructure Security Agency), le FBI (Federal Bureau of Investigation) et le ministère américain de la santé publient l'avis conjoint AA22-321A, « #StopRansomware: Hive », avec les techniques du groupe et des indicateurs de compromission relevés jusqu'en novembre. L'indicateur d'attaque (IoA) décrit un comportement en cours, par exemple un outil d'administration lancé depuis un poste de comptabilité à 3 heures du matin. L'IoC se périme vite : l'attaquant change d'adresse en quelques heures, et une empreinte change dès qu'un octet bouge. Il circule dans des formats communs, STIX (Structured Threat Information Expression) pour le décrire, TAXII (Trusted Automated Exchange of Intelligence Information) pour le transporter. On le trouve aussi sur des plateformes comme MISP (Malware Information Sharing Platform), alimentées par les CSIRT (Computer Security Incident Response Teams) et les communautés sectorielles. L'article 23, paragraphe 4, point b), de la directive (UE) 2022/2555 attend de la notification à 72 heures d'un incident important une évaluation initiale de sa gravité et de son impact et, lorsqu'ils sont disponibles, les indicateurs de compromission. Pour le souscripteur cyber, l'IoC entre d'abord au sinistre. La recherche des indicateurs d'un avis public dans les journaux de l'assuré (compromise assessment) se facture en frais d'investigation, et le libellé dit si elle est couverte quand rien n'a encore été déclaré : beaucoup de polices exigent un incident découvert ou raisonnablement suspecté. Il pèse ensuite sur l'attribution, car des indicateurs partagés avec un groupe désigné sous sanctions changent la discussion sur une rançon. Nuance : un IoC isolé prouve peu, et une adresse IP d'hébergement mutualisé peut produire un faux positif qui déclenche une déclaration inutile.
Cas d'école : un distributeur fictif reçoit un mardi un avis de son CSIRT (Computer Security Incident Response Team) national listant 40 indicateurs d'un groupe actif. Son prestataire passe 90 jours de journaux au crible et trouve 2 correspondances, dont une adresse IP connectée au VPN (réseau privé virtuel) le 3 du mois. Six jours d'investigation à 1 800 euros, soit 10 800 euros, confirment un accès. L'incident important est notifié, et la notification à 72 heures reprend les 2 indicateurs trouvés. Les 10 800 euros entrent dans les frais d'investigation, la découverte valant incident suspecté.
IoC, IOC, indicateur de compromission, marqueurs de compromission, indicateurs d'attaque, IoA
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.