Os IOCs (Indicators of Compromise) são as pistas que dizem se você foi invadido. Veja o significado e os tipos, como usá-los e por que você não deve confiar demais neles — tudo de forma defensiva (sem passos de ataque).
Os principais tipos de IOC
Eles se dividem em quatro, por "onde o rastro fica".
| Tipo | Exemplos | Onde você os compara |
|---|---|---|
| Rede | IP/domínio do servidor do atacante, URL de C2 | Logs de firewall / proxy / DNS |
| Arquivo | Hash SHA-256 de malware, nome de arquivo distintivo | EDR / antivírus / listagem de arquivos |
| Host | Chave de registro suspeita, processo residente desconhecido | Logs do SO, lista de processos |
| Comportamento | Login em horário/país incomum, tráfego em massa súbito | Logs de autenticação, monitoramento de tráfego |
IOC vs IOA — "rastro" vs "comportamento"
O contraste comum é o IOA (Indicator of Attack). A diferença mostra tanto a força quanto a fraqueza do IOC.
IOC (Indicator of Compromise) = um rastro do resultado
- Evidência do que já aconteceu (hashes, IPs)
- Pode ser comparado mecanicamente contra o sabidamente malicioso — rápido
- Mas os atacantes o mudam facilmente (descartável)
- Inerentemente reativo
IOA (Indicator of Attack) = comportamento em andamento
- O fluxo da técnica: escalonamento de privilégios → movimento lateral → exfiltração
- Captura mais perto do tempo real
- Mais difícil de mudar do que um rastro (é a essência do ataque)
- Mais pesado de adotar — precisa entender a mecânica
Quão "mudável" cada um é para o atacante (a pirâmide da dor)
Mesmo entre os IOCs, o esforço de que um atacante precisa para mudar um — ou seja, o quanto dói para ele quando você o captura — varia enormemente. Mais baixo é mais fácil de mudar; mais alto é mais difícil.
Então comparar hashes e IPs funciona rápido, mas fica obsoleto rápido. Quanto mais você entende a técnica (como eles atacam), mais a sua defesa dura.
Usando IOCs mesmo em pequena escala
Mesmo sem um EDR dedicado ou uma assinatura de inteligência de ameaças, há um mínimo realista que você pode fazer.
Obtenha IOCs de fontes confiáveis
Compare-os com seus logs e dependências
Ao detectar, isole e investigue
Registre seus próprios IOCs e verifique outros dispositivos
Casos reais: o que serviu de pista para comparar
Os IOCs não são só endereços IP e hashes. Nos casos de cadeia de suprimentos que este site já cobriu, a própria "versão" do pacote foi a primeira coisa a verificar.
| Caso | Pista | O que os usuários verificaram |
|---|---|---|
| XZ Utils (2024) | As versões que continham código malicioso (5.6.0 e 5.6.1) | Se o SO ou os contêineres tinham essas versões. A CISA dos EUA recomendou voltar para uma versão não comprometida, como a 5.4.6 |
| Codecov (2021) | O hash (SHA-256) do script distribuído não batia com o valor oficial | A adulteração foi descoberta porque uma empresa fez essa checagem. Os usuários verificaram por quanto tempo o tinham executado no CI e quais segredos ele conseguia alcançar |
| Trivy (2026) (em inglês) | As versões publicadas de forma maliciosa (v0.69.4 e outras) e os itens de verificação divulgados | Se o CI usou essas versões ou tags durante o período. Em caso positivo, trocar todas as credenciais |
Nos três casos, as pistas foram publicadas pela parte comprometida ou por autoridades, e a comparação foi feita pelos próprios usuários. Quando sair um comunicado oficial, verifique primeiro se a mesma versão ou o mesmo hash existe no seu ambiente. Esse é o uso básico dos IOCs.
Os IOCs têm prazo de validade
A RFC 9424 (2023), documento da IETF sobre o tratamento de IOCs, descreve sua gestão ao longo das etapas de descoberta, avaliação, compartilhamento, implantação, detecção, reação e fim de vida. A última etapa existe porque os IOCs ficam obsoletos.
- Endereços IP e domínios abandonados por um atacante podem depois ser reutilizados por serviços legítimos. Bloquear com base numa lista antiga pode barrar tráfego legítimo
- Mudar um único byte gera um hash diferente, então uma nova compilação do mesmo ataque não vai bater
- Por isso, registre a data e a fonte de cada IOC e revise-os periodicamente
Como comparar IOCs no seu próprio ambiente
Mesmo sem um produto dedicado, você pode comparar por conta própria três tipos de IOCs publicados: versões, hashes e domínios.
- Versões: cole um lockfile no scanner de vulnerabilidades de dependências para ver se há versões sabidamente maliciosas ou vulneráveis. Para pacotes do SO, verifique a versão com o comando de cada um, por exemplo
xz --version - Hashes: calcule o valor de um arquivo baixado com
sha256sum ARQUIVO(no Windows,certutil -hashfile ARQUIVO SHA256) e compare com o valor oficial ou com o IOC publicado - Domínios e IPs: procure os domínios ou IPs publicados nos logs de DNS e nos logs de acesso do servidor web. Períodos sem logs não podem ser verificados, então confira também por quanto tempo você guarda os logs
Ao encontrar uma correspondência, isole o dispositivo, a chave ou o token afetado e siga para o passo 3 acima.
A visão deste site: os IOCs confirmam uma invasão depois do fato; o objetivo principal é prevenir a invasão
A correspondência de IOC importa, mas é procurar rastros depois que uma invasão já aconteceu. Quando um rastro aparece, você já foi invadido.
Então neste site mantemos a correspondência de IOC como ferramenta de inspeção, enquanto colocamos o peso em um design que previne invasões: privilégio mínimo, correções rápidas (monitoramento de CVE), MFA resistente a phishing e nunca armazenar segredos em texto puro.
Uma defesa que se apoia na correspondência reativa de rastros está sempre um passo atrás. Você quer as duas coisas: a capacidade de notar via rastros e a capacidade de prevenir a invasão.
Fontes (primárias)
- IETF RFC 9424, "Indicators of Compromise (IoCs) and Their Role in Attack Defence" (agosto de 2023) (em inglês) — rfc-editor.org (definição de IoC, a pirâmide da dor, o ciclo de vida do IoC e o fim de vida)
- CISA dos EUA, "Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094" (29 de março de 2024) (em inglês) — cisa.gov (versões afetadas e ação recomendada)
- As fontes sobre Codecov e Trivy estão listadas na análise de cada caso
Leia a seguir
- Glossário: O que é um IOA (Indicator of Attack) · O que é C2 · O que é EDR · O que é um CVE (o identificador de vulnerabilidades) · O que é ransomware · O que é phishing
- Casos: O backdoor do XZ Utils · O comprometimento da cadeia de suprimentos do Trivy (em inglês)
- Verificar o seu próprio site: Como verificar se o seu site ou servidor foi invadido
- Recuperação: Fundamentos de backup e recuperação