IOC-Based Hunting

Définition

La chasse basée sur les IOC (Indicators of Compromise) est la forme la plus simple de threat hunting proactif : elle consiste à rechercher dans l'environnement des indicateurs connus de compromission publiés dans des flux de threat intelligence. Bien que moins sophistiquée que la chasse basée sur les hypothèses ou les TTPs, elle reste efficace pour détecter des compromissions par des menaces connues et cataloguées. Les IOCs utilisés dans cette approche comprennent les hashes de fichiers malveillants (MD5, SHA-1, SHA-256 des malwares connus), les adresses IP des serveurs C2 documentés, les noms de domaine des infrastructures malveillantes, les URLs spécifiques des pages de phishing ou de download de malware, les noms de fichiers et chemins caractéristiques des malwares, et les clés de registre créées par des malwares spécifiques. Les sources de threat intelligence pour les IOC-based hunts incluent les feeds commerciaux (Recorded Future, CrowdStrike Falcon Intelligence, Mandiant Advantage), les feeds OSINT gratuits (AlienVault OTX Pulse, abuse.ch URLhaus et MalwareBazaar, Feodo Tracker, ThreatFox), les publications d'incidents sectoriels (ISACs, CERT-FR, ANSSI), et les IOCs extraits lors d'investigations précédentes de l'organisation. Les plateformes SIEM permettent l'automatisation de la recherche d'IOCs : les IOCs sont importés dans des lookups Splunk ou des listes de références Elastic, et des requêtes périodiques cherchent des matches dans les logs de l'environnement. Cette automatisation transforme les hunts manuels en détections continues, réduisant progressivement la nécessité d'une intervention humaine pour les IOCs connus. La limitation principale de l'IOC-based hunting est que les IOCs sont des indicateurs passés — ils ne permettent de détecter que des menaces déjà documentées, et les attaquants sophistiqués renouvellent fréquemment leur infrastructure (rotation d'IPs, nouveaux domaines, recompilation des malwares). C'est pourquoi l'IOC-based hunting doit être complété par des approches TTP-based et hypothesis-driven.