Indicateur de compromission

Définition

Un indicateur de compromission, ou IoC, est un artefact technique observable au sein d'un système d'information qui témoigne, avec un niveau de confiance variable, d'une activité malveillante passée ou en cours. Les indicateurs de compromission recouvrent des éléments variés : valeurs de hachage de fichiers malveillants, comme des empreintes MD5 ou SHA-256, adresses IP associées à une infrastructure d'attaque, noms de domaine utilisés pour le commandement et contrôle, URL de phishing, clés de registre créées par un logiciel malveillant, ou signatures réseau spécifiques. Selon la pyramide de la douleur de David Bianco, les indicateurs de compromission de bas niveau, comme les hachages ou les adresses IP, sont rapidement modifiables par l'attaquant et offrent donc une valeur défensive limitée dans le temps. Les indicateurs de compromission sont diffusés via des flux de renseignement sur la menace, souvent au format STIX/TAXII, et intégrés dans les SIEM, EDR et pare-feux pour permettre une détection ou un blocage automatisé. Leur exploitation nécessite un enrichissement contextuel afin d'éviter les faux positifs, ainsi qu'une vérification de leur fraîcheur, car un indicateur obsolète peut générer du bruit inutile ou manquer une menace active utilisant une nouvelle infrastructure. La collecte, le partage et l'exploitation rigoureuse des indicateurs de compromission constituent un pilier fondamental de la cyberdéfense collective et de la détection réactive.