IOC (Indicator of Compromise)

Définition

Un IOC, Indicator of Compromise ou indicateur de compromission, est un artefact technique observable et vérifiable qui témoigne, avec un niveau de confiance variable, qu'un système a été compromis ou fait actuellement l'objet d'une tentative de compromission active, constituant l'unité de base échangée entre équipes de sécurité et plateformes de threat intelligence pour la détection et la corrélation de menaces. Les IOC se déclinent en plusieurs catégories selon leur nature technique : les indicateurs réseau, comme les adresses IP ou domaines associés à une infrastructure de commande et contrôle, ou les signatures de trafic caractéristiques d'un malware spécifique ; les indicateurs de fichier, principalement des hachages cryptographiques (MD5, SHA-256) permettant d'identifier précisément un échantillon malveillant connu ; et les indicateurs d'hôte, comme des clés de registre créées par un malware, des noms de fichiers ou des chemins caractéristiques, des processus au comportement anormal. Les IOC alimentent directement les règles de détection des SIEM, EDR et antivirus, et sont partagés via des plateformes structurées comme MISP ou des formats standardisés comme STIX/TAXII, permettant une diffusion rapide entre organisations dès qu'une menace est identifiée. Leur limite principale réside dans leur courte durée de vie : un attaquant modifiant son infrastructure ou recompilant son malware rend rapidement obsolètes des IOC statiques, justifiant une approche complémentaire par indicateurs comportementaux (TTP).