Индикаторы компрометации (IoC): что это, виды, форматы

Индикатор компрометации (IoC, Indicator of Compromise) — это конкретный технический артефакт — IP-адрес, хеш файла, доменное имя, ключ реестра, — обнаружение которого в системе или сети с высокой вероятностью говорит о том, что она уже скомпрометирована, а не о случайном совпадении. Расшифровка термина дословная: «индикатор» — наблюдаемый признак, «компрометация» — уже состоявшийся факт проникновения или заражения.

IoC не предсказывает атаку заранее — он подтверждает, что атака, вероятно, уже произошла или происходит сейчас.

Источник IoC — расследование инцидента, анализ образца вредоносного ПО в песочнице, отчёт исследовательской лаборатории или фид Threat Intelligence. Аналитик извлекает из атаки повторяющиеся артефакты — например, IP адрес сервера управления, к которому обращался троян, — и превращает их в правило, по которому можно распознать ту же или похожую активность в другой инфраструктуре.

IoC делятся на четыре категории — сетевые, файловые, хостовые и поведенческие, — а по устойчивости к обходу их описывает пирамида боли (Pyramid of Pain), которую в 2013 году предложил аналитик Дэвид Бьянко (в январе 2014-го он доработал модель, добавив нижний уровень — хеши файлов): чем выше индикатор в пирамиде, тем дороже и дольше атакующему его менять.

Пирамида боли ранжирует эти индикаторы по одному критерию — во сколько атакующему обходится их смена:

↔ таблицу можно прокрутить вбок

Практический вывод из пирамиды: блокировка по хешам и IP даёт быстрый, но недолговечный эффект — атакующий меняет их за минуты. Детект по тактикам и техникам (верхний уровень) требует больше усилий на настройку, но бьёт по тому, что атакующему поменять действительно дорого.

Индикаторы компрометации передаются между организациями в стандартизированных форматах — STIX 2.1 и TAXII 2.1 (открытые стандарты OASIS), более старый OpenIOC от Mandiant, а также правила YARA и Sigma для описания сигнатур, — а поставляют их фиды Threat Intelligence, которые агрегируют данные из открытых, коммерческих и собственных источников телеметрии.

В российской регуляторике открытого публичного стандарта на обмен индикаторами компрометации со свободной спецификацией (наподобие STIX/TAXII) нет, но два элемента близки к этой задаче. БДУ ФСТЭК (bdu.fstec.ru) — «Банк данных угроз безопасности информации», который используется при моделировании угроз, но описывает сами угрозы и уязвимости, а не потоковые IoC.

НКЦКИ в рамках ГосСОПКА распространяет субъектам КИИ бюллетени безопасности с индикаторами конкретных известных кампаний для автоматизированного выявления инцидентов; технические требования к такому обмену закреплены приказами ФСБ России (в том числе № 196 от 06.05.2019, № 367, № 368). Это закрытый регламентированный канал для субъектов КИИ по 187-ФЗ, а не открытый публичный протокол со свободной спецификацией, как TAXII.

Сами по себе индикаторы компрометации не работают — их загружают в SIEM для сопоставления с потоком событий, обогащают контекстом через платформу Threat Intelligence, используют в SOAR для автоматизации реагирования и ищут на конечных точках инструментами EDR, а весь цикл держит на себе команда SOC.

Организационно весь этот цикл — от получения индикатора до подтверждённого реагирования — собирает воедино SOC: аналитик решает, доверять ли конкретному IoC, и запускает нужный инструмент из стека. Отдельно индикаторы компрометации часто указывают на конкретный тип вредоносного ПО, стоящего за атакой, — подробнее о том, чем отличаются вирусы, трояны, черви и руткиты, в материале «Виды вредоносного ПО».

Признаки взлома — наблюдаемые аномалии, по которым можно заподозрить компрометацию ещё до того, как найден конкретный индикатор: необычный исходящий трафик, входы в нерабочее время и из чужих регионов, новые неизвестные учётные записи, отключённые средства защиты, всплеск неудачных попыток входа и незнакомые процессы. Каждый такой признак — повод искать IoC и запускать реагирование.

• Необычный исходящий трафик или соединения с незнакомыми внешними адресами — возможный канал управления (C2).
• Входы под учётной записью в нерабочее время, из другой страны или с «невозможной» географией.
• Новые, никем не заводившиеся учётные записи или внезапно повышенные привилегии.
• Отключённые или «упавшие» антивирус, EDR, журналирование — атакующие часто глушат защиту.
• Всплеск неудачных попыток входа (брутфорс) либо успешный вход после серии неудачных.
• Незнакомые процессы и службы, задачи в планировщике, изменённые системные файлы.
• Массовое шифрование или переименование файлов, записки с требованием выкупа — след программы-вымогателя.
• Неожиданный рост нагрузки на CPU или сеть — признак майнинга или эксфильтрации данных.

оценка перечень типовых признаков — редакционная систематизация практики SOC, а не нормативный список. Обнаружив признак взлома, переходят к поиску конкретных индикаторов компрометации (см. выше) и запускают реагирование на инциденты; технически признаки отслеживают SIEM и EDR.