Che cos'è un indicatore di compromissione (IOC)?

Un indicatore di compromissione è un elemento di prova che fa pensare a un attacco a un sistema: un indirizzo IP o un dominio noto per essere usato dagli attaccanti, l'hash di un file malevolo, un nome di file sospetto, l'impronta TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS. di un client malware noto o una modifica di configurazione che un malware introduce. Li pubblicano gli avvisi di CISA, dei CERT nazionali e dei ricercatori di sicurezza, perché altri possano cercarli nei propri log. Sono utili e di breve durata: gli attaccanti cambiano server e ricompilano gli strumenti, quindi un indirizzo malevolo il mese scorso può oggi appartenere a qualcuno di innocente. Per questo gli indicatori integrano l'osservazione del comportamento, senza sostituirla. Cerchi nei log di firewall, proxy e DNS gli indicatori di ogni avviso che La riguarda. Dal piano Starter, NetSenX confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo./TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore., e rileva comportamenti come il beaconing in ogni piano.

← Tutte le 35 domande su Sono stato violato?Tutti i temi