Qu'est-ce qu'un indicateur de compromission (IOC) ?
Un indicateur de compromission est un élément de preuve qui laisse penser qu'un système a été attaqué : une adresse IP ou un domaine connu pour être utilisé par des attaquants, l'empreinte d'un fichier malveillant, un nom de fichier suspect, l'empreinte TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. d'un client malveillant connu, ou une modification de configuration qu'opère un logiciel malveillant. Les avis de la CISA, des CERT nationaux et des chercheurs en sécurité les publient pour que chacun puisse fouiller ses propres journaux. Ils sont utiles et éphémères : les attaquants changent de serveurs et recompilent leurs outils, si bien qu'une adresse malveillante le mois dernier peut appartenir aujourd'hui à quelqu'un d'innocent. C'est pourquoi les indicateurs complètent l'observation des comportements sans la remplacer. Cherchez dans vos journaux de pare-feu, de proxy et DNS les indicateurs de tout avis qui vous concerne. À partir de l'offre Starter, NetSenX compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer./TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur., et détecte des comportements comme le beaconing dans chaque offre.
À lire ensuite
Questions liées
- Notre antivirus affiche tout en vert. Pouvons-nous quand même être compromis ?
- Un compte administrateur est apparu et personne ne se souvient de l'avoir créé. Que faire ?
- Un serveur envoie des données la nuit. Que faut-il vérifier ?
- Notre adresse IP publique figure sur une liste de blocage. Cela veut-il dire que nous avons été piratés ?
- Un collègue dit que la souris a bougé toute seule. Quelqu'un contrôle-t-il l'ordinateur ?
Termes utilisés ici
- TLS (Transport Layer Security)
- Le chiffrement qui protège la plupart du trafic internet, comme HTTPS.
- SPAN (switch port analyser (port miroir))
- Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer.
- TAP (test access point)
- Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur.