Wat is een indicator of compromise (IOC)?

Een indicator of compromise is een bewijsstuk dat erop wijst dat een systeem is aangevallen: een IP-adres of domein waarvan bekend is dat aanvallers het gebruiken, de hash van een kwaadaardig bestand, een verdachte bestandsnaam, de TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-vingerafdruk van een bekende malwareclient, of een configuratiewijziging die malware doorvoert. Waarschuwingen van CISA, nationale CERT's en beveiligingsonderzoekers publiceren ze, zodat anderen hun eigen logs kunnen doorzoeken. Ze zijn nuttig en kortlevend: aanvallers wisselen van server en compileren hun tools opnieuw, dus een adres dat vorige maand kwaadaardig was, kan vandaag van iemand onschuldigs zijn. Daarom vullen indicatoren het letten op gedrag aan in plaats van het te vervangen. Doorzoek uw firewall-, proxy- en DNS-logs op de indicatoren uit elke waarschuwing die u aangaat. Vanaf het Starter-plan vergelijkt NetSenX TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken./TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-sensor, en gedrag zoals beaconing detecteert het op elk abonnement.

← Alle 35 vragen over Ben ik gehackt?Alle onderwerpen