Een indicator of compromise (IoC) of indicator van compromittering is een digitaal forensisch bewijs dat kan aantonen dat een computernetwerk is aangevallen of binnengedrongen. Een IoC wijst meestal op een specifieke aanvaller of specifiek misbruikte kwetsbaarheid. Door het uitwisselen van indicatoren kunnen organisaties sneller nagaan of zij slachtoffer zijn geworden en mitigerende maatregelen nemen.
Type indicatoren Indicators of compromise hebben geen vast formaat en zijn van uiteenlopende omvang en precisie. In een indicator kan bijvoorbeeld zijn opgenomen:
IP-adressen of domeinnamen gebruikt in de aanval; digitale vingerafdrukken van malafide software en bestanden; en/of gebruikte aanvalssoftware en -technieken.
Deze informatie kan vervolgens worden vergeleken met logbestanden van een systeem of netwerk. Soms kan uit de aan- of afwezigheid van een indicator nog geen conclusies getrokken worden en is aanvullend onderzoek nodig.
Uitwisselen In het domein van de computerbeveiliging worden IoC's veelvuldig uitgewisseld. Een indicator kan bijvoorbeeld gedeeld worden door de maker van software waarbij een kwetsbaarheid is ontdekt, door een slachtoffer van een aanval, of door een CSIRT.
In Nederland maken IoC's regelmatig onderdeel uit van beveiligingsadviezen gepubliceerd door het Nationaal Cyber Security Centrum. Ook wordt gebruik gemaakt van de open standaard Structured Threat Information Expression (STIX) om deze adviezen geautomatiseerd te delen.
Indicators of compromise beschermen niet tegen nog onbekende zero-day aanvallen, aangezien hier nog geen forensisch bewijs van bekend is ten tijde van een aanval. Ook is het voor organisaties van belang dat zij logging toepassen op hun netwerk zodat de gegevens uit gedeelde IoC's vergeleken kunnen worden met loggegevens.
Zie ook
Malware Computerbeveiliging
Referenties
Categorie:Computerbeveiliging