Indicateur de compromission (IoC)
IoC · IOC · indicator of compromise · IoA · indicateur d’attaque · marqueur de compromission
Trace technique qui signale qu’un système a probablement été compromis : adresse IP ou domaine malveillant, empreinte de fichier, nom de processus, clé de registre.
En pratique
Les IoC sont publiés par les CERT, les éditeurs et les communautés de partage, puis intégrés au SIEM, à l’EDR ou au pare-feu pour une détection automatique. Leur durée de vie est courte : un attaquant change d’adresse ou modifie son outil en quelques minutes. On les complète donc par la détection de comportements (indicateurs d’attaque, ou IoA) et par la recherche dans l’historique : un indicateur publié aujourd’hui peut révéler une intrusion vieille de plusieurs semaines.
Cas fictif : le CERT-FR publie les domaines utilisés par une campagne visant les collectivités. L’analyste d’une mairie les recherche dans six mois de journaux DNS et trouve un poste qui en a contacté un trois semaines plus tôt. L’enquête commence avant que l’attaquant ne passe à l’action.
