Fiche relue le .
Définition
Un indicateur de compromission est un artefact technique qui trahit une intrusion : empreinte (hash) de fichier malveillant, adresse IP ou domaine de commande et contrôle, URL de phishing, clé de registre, mutex. Les IOC se diffusent dans les outils de détection et se partagent au format STIX. On les distingue des IOA (indicateurs d'attaque), qui décrivent un comportement plutôt qu'un artefact figé.
Pourquoi c'est important
La « pyramide de la douleur », modèle classique de la détection, montre que bloquer un hash ou une adresse IP gêne peu l'attaquant, qui les change en quelques minutes, alors que détecter ses TTP l'oblige à revoir tout son mode opératoire. Les IOC restent essentiels pour la réaction rapide et l'investigation après incident, pour mesurer l'ampleur d'une compromission, mais ne suffisent pas seuls. Une défense mature combine IOC (réactif) et détection comportementale (proactif). Leur durée de vie courte impose une mise à jour continue.
Ce que fait AOCSI
Lors d'une réponse à incident, nous exploitons les IOC pour circonscrire le périmètre touché, puis remontons aux TTP pour comprendre le mode opératoire complet. Notre investigation forensic ne s'arrête pas au premier indicateur trouvé.
Pôle de rattachementRéponse à incidentPrestations et prix