IoC (Indicators of Compromise)

Types d'IoC

Les types courants incluent les hashes de fichiers malveillants (MD5, SHA-256), les adresses IP et domaines C2, les URLs de phishing, les noms de fichiers caractéristiques, les clés de registre modifiées, les règles YARA et les signatures Snort/Suricata.

Gestion automatisée

Les plateformes de threat intelligence (MISP, OpenCTI, ThreatConnect) centralisent les IoC, les enrichissent avec du contexte et les diffusent automatiquement vers les outils de détection. Le standard STIX 2.1 structure les IoC dans un format interopérable.

Limites et évolution

Les IoC ont une durée de vie limitée car les attaquants changent régulièrement d'infrastructure. Les défenseurs se tournent vers les IoA (Indicators of Attack) décrivant des comportements et les TTP MITRE ATT&CK pour des détections plus résilientes aux changements d'infrastructure.