Indicador de compromiso

Un indicador de compromiso ( IoC ) en informática forense es un artefacto observado en una red informática o dentro de un sistema operativo que, con alta confianza, indica una intrusión informática . ^{[ 1 ]}

Los indicadores de compromiso (IoC) comunes incluyen firmas de virus , direcciones IP sospechosas , hashes MD5 de archivos maliciosos y URL o nombres de dominio maliciosos asociados con servidores de comando y control de botnets . Una vez identificados mediante la respuesta a incidentes o el análisis forense, los IoC pueden utilizarse para la detección temprana de futuros ataques con sistemas de detección de intrusiones y software antivirus .

Los IoC generalmente se agrupan en cinco categorías según dónde aparece la actividad maliciosa: ^{[ 2 ] [ 3 ] [ 4 ]}

• Indicadores de compromiso basados ​​en la red: direcciones IP sospechosas, dominios maliciosos y tráfico saliente irregular.
• IoCs basados ​​en el host: cambios inesperados en archivos, modificaciones del registro y registros del sistema irregulares.
• Indicadores de compromiso conductuales: fallos repetidos de inicio de sesión, intentos de escalada de privilegios y movimiento lateral .
• Indicadores de compromiso basados ​​en archivos: valores hash como MD5 o SHA-256 que identifican archivos maliciosos.
• Indicadores de compromiso (IoC) basados ​​en correo electrónico: dominios de remitente sospechosos, archivos adjuntos maliciosos y enlaces engañosos en campañas de phishing .

Diversas normas e iniciativas tienen como objetivo automatizar el procesamiento y el intercambio de IoC:

• El formato de intercambio de descripción de objetos de incidentes ( IODEF ) estandariza la forma en que se describe e intercambia la información de incidentes. ^{[ 5 ]}
• El formato STIX (Structured Threat Information Expression) se utiliza para representar información sobre amenazas cibernéticas. ^{[ 6 ]}

En la industria de la ciberseguridad, se intercambian con frecuencia indicadores conocidos, como el Protocolo de Semáforo (TLP), para indicar cómo se puede compartir la información. ^{[ 7 ]} También se utilizan otros marcos y estándares para respaldar el intercambio seguro de información. ^{[ 8 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ]}

La detección de IoC se basa en el monitoreo continuo, el reconocimiento de patrones y la correlación a través de múltiples capas de seguridad. ^{[ 14 ] [ 3 ] [ 15 ]}

Los métodos de detección comunes incluyen:

• Supervisión de registros: revisión de los registros del sistema de servidores, aplicaciones y sistemas de autenticación para detectar actividades inusuales, como intentos de inicio de sesión fallidos o intentos de acceso no autorizados.
• Análisis del tráfico de red: inspección del movimiento irregular de datos y de las conexiones externas desconocidas.
• Supervisión de puntos finales: seguimiento de la ejecución de archivos, el comportamiento de los procesos y los cambios de configuración mediante herramientas de detección y respuesta de puntos finales (EDR) .
• Integración de la inteligencia sobre amenazas: cotejo de datos internos con fuentes externas de indicadores maliciosos conocidos.
• Correlación SIEM: uso de sistemas de gestión de información y eventos de seguridad (SIEM) para agregar datos y conectar eventos relacionados.
• Análisis del comportamiento: análisis de los patrones de comportamiento del usuario y del sistema para detectar desviaciones de la actividad normal.

La dependencia exclusiva de los IoC crea brechas de detección, ya que los patrones conocidos no pueden representar completamente las técnicas de ataque en evolución. ^{[ 3 ]} Las limitaciones clave incluyen:

• Detección reactiva: la identificación se produce después de que aparecen rastros en los sistemas, lo que limita la capacidad de detener las amenazas a tiempo.
• Ineficacia frente a amenazas desconocidas: los nuevos métodos de ataque y las vulnerabilidades de día cero no coinciden con los indicadores existentes.
• Evasión mediante cambios menores: pequeñas modificaciones en la infraestructura del atacante, como la alteración de dominios o firmas de archivos, reducen la eficacia de los indicadores.
• Gran volumen de alertas y fatiga por exceso de información: un gran número de indicadores puede generar alertas excesivas, muchas de las cuales carecen de impacto real.
• Comprensión contextual limitada: los indicadores independientes no explican el alcance ni la progresión completos de un ataque.

• Mandiant
• malware
• Plataforma para compartir información sobre malware