IOC (Indicators of Compromise) — это подсказки, по которым можно понять, не взломали ли вас. Разберём значение и типы, как их использовать и почему им не стоит чрезмерно доверять — всё с точки зрения защиты (без шагов атаки).
Основные типы IOC
Они делятся на четыре по «где оседает след».
| Тип | Примеры | Где сопоставлять |
|---|---|---|
| Сеть | IP/домен сервера злоумышленника, URL C2 | Журналы межсетевого экрана / прокси / DNS |
| Файл | SHA-256 хеш вредоносного ПО, характерное имя файла | EDR / антивирус / список файлов |
| Хост | Подозрительный ключ реестра, незнакомый резидентный процесс | Журналы ОС, список процессов |
| Поведение | Вход в необычное время/из необычной страны, внезапный массовый трафик | Журналы аутентификации, мониторинг трафика |
IOC против IOA — «след» против «поведения»
Обычное противопоставление — IOA (Indicator of Attack). Разница показывает и сильную, и слабую стороны IOC.
IOC (Indicator of Compromise) = след результата
- Свидетельство того, что уже случилось (хеши, IP)
- Можно сопоставлять механически с известным вредоносным — быстро
- Но злоумышленники легко это меняют (одноразово)
- По своей сути реактивно
IOA (Indicator of Attack) = поведение в процессе
- Поток техники: повышение привилегий → горизонтальное перемещение → вывод данных
- Ловит ближе к реальному времени
- Труднее изменить, чем след (это суть атаки)
- Тяжелее внедрить — нужно понимание механики
Насколько «изменяемо» каждое для злоумышленника (пирамида боли)
Даже среди IOC усилия, нужные злоумышленнику, чтобы изменить один из них, — то есть насколько ему больно, когда вы его ловите, — разнятся колоссально. Ниже — легче изменить; выше — труднее.
Поэтому сопоставление хешей и IP работает быстро, но и устаревает быстро. Чем лучше вы понимаете технику (как они атакуют), тем дольше держится ваша защита.
Использование IOC даже при малом масштабе
Даже без выделенного EDR или подписки на threat intelligence есть реалистичный минимум, который вы можете сделать.
Берите IOC из доверенных источников
Сопоставляйте их с вашими журналами и зависимостями
При срабатывании изолируйте и расследуйте
Записывайте собственные IOC и проверяйте другие устройства
Реальные случаи: что служило уликой для сопоставления
IOC — это не только IP-адреса и хеши. В случаях атак на цепочку поставок, разобранных на этом сайте, первым, что нужно было проверить, была сама «версия» пакета.
| Случай | Улика | Что проверяли пользователи |
|---|---|---|
| XZ Utils (2024) | Версии с вредоносным кодом (5.6.0 и 5.6.1) | Есть ли эти версии в их ОС или контейнерах. Американское агентство CISA рекомендовало откатиться на нескомпрометированную версию, например 5.4.6 |
| Codecov (2021) | Хеш (SHA-256) распространяемого скрипта не совпадал с официальным значением | Подделку нашли потому, что одна компания провела эту проверку. Пользователи смотрели, как долго запускали скрипт в CI и до каких секретов он мог дотянуться |
| Trivy (2026) | Вредоносно опубликованные версии (v0.69.4 и другие) и опубликованные пункты проверки | Использовал ли CI эти версии или теги в тот период. Если да — ротировать все учётные данные |
Во всех трёх случаях улики публиковала скомпрометированная сторона или органы, а сопоставление проводили сами пользователи. Когда выходит официальное уведомление, сначала проверьте, есть ли в вашей среде та же версия или хеш. Это базовый способ использовать IOC.
У IOC есть срок годности
RFC 9424 (2023) — документ IETF об обращении с IOC — описывает управление ими через этапы обнаружения, оценки, обмена, развёртывания, детектирования, реагирования и завершения срока жизни. Последний этап существует потому, что IOC устаревают.
- IP-адреса и домены, которые бросил злоумышленник, позже могут быть переиспользованы легитимными сервисами. Блокировка по старому списку может остановить легитимный трафик
- Изменение одного байта даёт другой хеш, поэтому новая сборка той же атаки не совпадёт
- Поэтому записывайте дату и источник каждого IOC и периодически их пересматривайте
Как сопоставлять IOC в своей среде
Даже без специального продукта вы можете сами сопоставить три вида опубликованных IOC: версии, хеши и домены.
- Версии: вставьте lock-файл в сканер уязвимостей зависимостей, чтобы увидеть, нет ли известных вредоносных или уязвимых версий. Для пакетов ОС проверьте версию соответствующей командой, например
xz --version - Хеши: вычислите значение скачанного файла командой
sha256sum FILE(в Windows —certutil -hashfile FILE SHA256) и сравните с официальным значением или опубликованным IOC - Домены и IP: поищите опубликованные домены или IP в журналах DNS и журналах доступа веб-сервера. Периоды без журналов проверить нельзя, поэтому проверьте и срок хранения журналов
При совпадении отрежьте затронутое устройство, ключ или токен и переходите к шагу 3 выше.
Мнение этого сайта: IOC подтверждают взлом постфактум; главная цель — предотвратить проникновение
Сопоставление IOC важно, но это поиск следов после того, как взлом уже произошёл. К моменту, когда след проявится, вы уже взломаны. Поэтому на этом сайте мы держим сопоставление IOC как инструмент осмотра, а вес кладём на проектирование, предотвращающее проникновение: минимум привилегий, быстрые обновления (мониторинг CVE), устойчивая к фишингу MFA и никакого хранения секретов в открытом виде. Защита, опирающаяся на реактивное сопоставление следов, всегда на шаг позади. Нужно и то и другое: способность замечать по следам и способность предотвращать проникновение.
Источники (первичные)
- IETF RFC 9424, «Indicators of Compromise (IoCs) and Their Role in Attack Defence» (август 2023 г.) — rfc-editor.org (определение IoC, пирамида боли, жизненный цикл IoC и завершение срока жизни)
- CISA (США), «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094» (29 марта 2024 г.) — cisa.gov (затронутые версии и рекомендуемые действия)
- Источники по Codecov и Trivy приведены в разборе каждого случая
Читать дальше
- Глоссарий: Что такое IOA (Indicator of Attack) · Что такое C2 · Что такое EDR · Что такое CVE (идентификатор уязвимости) · Что такое программа-вымогатель · Что такое фишинг
- Случаи: Бэкдор в XZ Utils · Компрометация цепочки поставок Trivy
- Проверка своего сайта: Как проверить, не взломан ли ваш сайт или сервер
- Восстановление: Основы резервного копирования и восстановления