Définition simple
Un indicateur de compromission (IOC) est une trace technique pouvant signaler une attaque, comme une adresse IP, un domaine ou une empreinte de fichier.
Définition technique
Indicator of Compromise facilite la recherche d'événements suspects dans les journaux, EDR et SIEM. Les indicateurs peuvent devenir obsolètes ou produire des faux positifs et doivent être corrélés avec les comportements observés.
À quoi cela sert ?
Rechercher rapidement des traces communes sur plusieurs systèmes.
Exemple concret
Après un incident, une équipe peut chercher sur tout le parc le hash d’un fichier malveillant identifié.
Problèmes fréquents
- IOC devenu obsolète
- Faux positif sur une infrastructure partagée
- Recherche sans contexte comportemental
Termes associés
À retenir : un IOC est une trace observable susceptible d’indiquer une attaque ; son interprétation exige le contexte pour éviter les faux positifs.