Définition simple
Un indicateur d'attaque (IOA) décrit un comportement suspect susceptible de révéler une action malveillante en cours.
Définition technique
Indicator of Attack privilégie les séquences d'actions ou techniques observées, par exemple une exécution anormale de commandes suivie d'un accès à des identifiants. Contrairement à l'IOC, souvent associé à un artefact connu, il vise les comportements de l'attaque.
À quoi cela sert ?
décrire un comportement ou une action suspecte plutôt qu’un artefact fixe.
Exemple concret
une séquence PowerShell et création de tâche peut déclencher une détection.
Problèmes fréquents
- contexte manquant
- bruit
- règle trop large
À retenir : un IOA décrit un comportement potentiellement offensif plutôt qu’une signature de fichier connue ; corrélez les signaux avec les journaux et le contexte de l’hôte.