À retenir
- Sert de preuve concrète d'une activité malveillante.
- Permet de gagner du temps lors de l'analyse d'un incident.
- Est souvent partagé entre les experts en sécurité pour protéger la communauté.
Un indicateur de compromission est une preuve numérique montrant qu'un système informatique a été piraté ou infiltré. C'est l'équivalent d'une empreinte digitale ou d'un indice laissé par un cambrioleur sur une scène de crime, permettant de confirmer qu'une intrusion a bien eu lieu.
Étymologie
C'est une traduction littérale de l'expression anglaise Indicator of Compromise (IoC). En informatique, le terme « compromission » signifie qu'un système n'est plus digne de confiance car ses mécanismes de sécurité ont été forcés ou contournés.
Exemples d'usage
- Une adresse IP étrangère inconnue qui télécharge de gros volumes de données depuis votre serveur.
- La présence d'un fichier suspect dont la signature numérique (le
hash) correspond à un virus connu. - Une clé de registre Windows modifiée pour lancer un programme automatiquement au démarrage.
Cas d'usage
Ce concept est essentiel en cybersécurité, notamment lors de l'analyse après une attaque (forensics) ou pour configurer des outils de détection automatique comme les antivirus et les pare-feu qui bloquent les menaces sur la base de ces indices.
Bonnes pratiques
Il ne faut pas se reposer sur un seul type d'indicateur (comme une simple adresse IP), car les attaquants peuvent en changer facilement. La bonne pratique consiste à utiliser des flux d'informations sur les menaces (Threat Intelligence) pour maintenir ses bases de données d'indices à jour en temps réel.
Synonymes
Antonymes
Conseil
Si vous débutez, apprenez à lire les rapports de sécurité des entreprises spécialisées : ils listent souvent les IoC à la fin (adresses IP, noms de domaines, empreintes de fichiers) pour aider les administrateurs à vérifier s'ils ont été touchés par la même attaque.
Questions fréquentes
Quelle est la différence entre un IoC et un IoA ?
L'IoC (Indicateur de Compromission) est une preuve d'une intrusion passée ou réussie. L'IoA (Indicateur d'Attaque) concerne les signes avant-coureurs ou le comportement en cours d'une attaque.
Un IoC est-il toujours fiable ?
Pas à 100 %. Une adresse IP peut être signalée comme malveillante alors qu'elle appartient désormais à un utilisateur légitime (faux positif).