Wat zijn Indicators of Compromise (IoC's)?

Indicatoren van compromittering (IOC's) zijn artefacten die wijzen op een mogelijke inbreuk. In deze gids worden de soorten IOC's, hun betekenis voor het detecteren van bedreigingen en hoe ze effectief kunnen worden gebruikt, besproken.

Lees meer over best practices voor het monitoren van en reageren op IOC's. Inzicht in IOC's is cruciaal voor organisaties om hun incidentresponscapaciteiten te verbeteren. IoC's zijn essentiële instrumenten die organisaties helpen bij het identificeren en beperken van potentiële bedreigingen door vroegtijdige waarschuwingssignalen van kwaadaardige activiteiten te geven.

IOC versus IOA

Voordat we dieper ingaan op IOC's, is het essentieel om het verschil tussen IOC's en IOA's (Indicators of Attack) te begrijpen. IOC's worden gebruikt om te identificeren wanneer een aanvaller een systeem al heeft gecompromitteerd. Aan de andere kant worden IOA's gebruikt om te detecteren wanneer een aanvaller toegang probeert te krijgen tot een systeem.

IOC's worden doorgaans gebruikt om specifieke beveiligingsrisico's te detecteren en daarop te reageren, terwijl IOA's worden gebruikt om een breed scala aan beveiligingsrisico's te detecteren en daarop te reageren. IOC's zijn over het algemeen eenvoudiger dan IOA's en bieden meer gedetailleerde informatie over een potentieel beveiligingsrisico.

Soorten Indicators of Compromise (IoC's)

In cyberbeveiliging worden verschillende soorten Indicators of Compromise (IoC's) gebruikt. Enkele voorbeelden hiervan zijn:

Bestandsgebaseerde indicatoren – Deze zijn gekoppeld aan een specifiek bestand, zoals een hash of bestandsnaam.
Op het netwerk gebaseerde indicatoren – Indicatoren die gekoppeld zijn aan een netwerk, zoals een IP-adres of domeinnaam.
Gedragsindicatoren – Dit zijn indicatoren die gekoppeld zijn aan het gedrag van een systeem of netwerk, zoals ongebruikelijk netwerkverkeer of ongebruikelijke systeemactiviteit. Er zijn veel gedragsindicatoren die MITRE Engenuity ATT&CK maps.
Op artefacten gebaseerde indicatoren – Dit zijn indicatoren die verband houden met de artefacten die een aanvaller achterlaat, zoals een registersleutel of een configuratiebestand.

Hoe werken Indicators of Compromise (IoC's)?

IoC's worden op verschillende manieren gecreëerd, zoals door middel van dreigingsinformatie, het monitoren van beveiligingslogboeken en het analyseren van netwerkverkeer. Zodra een IoC is geïdentificeerd, kunnen cybersecurityprofessionals of een SOC gebruiken deze om beveiligingsmaatregelen te ontwikkelen die soortgelijke aanvallen detecteren en voorkomen. Als een IoC bijvoorbeeld een kwaadaardig IP-adres is, kunnen cybersecurityprofessionals het IP-adres blokkeren, waardoor elke communicatie tussen het systeem van de aanvaller en het netwerk van de organisatie wordt voorkomen.

Waarom zijn Indicators of Compromise (IoC's) belangrijk?

Indicators of Compromise (IoC's) zijn essentieel omdat ze beveiligingsteams helpen bij het detecteren en voorkomen van cyberdreigingen. IoC's kunnen cyberaanvallen identificeren en beperken, zoals malware-infecties, phishingaanvallen en andere cyberdreigingen. Daardoor kunnen organisaties hun systemen en gegevens tegen cybercriminelen beschermen door deze bedreigingen op te sporen en te beperken.

IoC's spelen een cruciale rol bij het identificeren en beperken van potentiële bedreigingen voor de beveiliging van een organisatie. Door gebruik te maken van IoC's kunnen organisaties:

Beveiligingsincidenten snel detecteren – IoC's kunnen organisaties helpen bij het identificeren van beveiligingsincidenten en het nemen van maatregelen om potentiële schade te voorkomen of te beperken.
Toekomstige bedreigingen monitoren – Door te monitoren op bekende IoC's kunnen organisaties potentiële bedreigingen detecteren en proactieve maatregelen nemen om deze te voorkomen.
Verbeter de respons op incidenten – IoC's kunnen organisaties helpen bij het ontwikkelen van effectievere incidentresponsplannen door vroegtijdige waarschuwingssignalen van kwaadaardige activiteiten te geven.
Dreigingsinformatie delen – IoC's kunnen tussen organisaties worden gedeeld, waardoor ze kunnen samenwerken en middelen kunnen bundelen om potentiële dreigingen effectiever te identificeren en te beperken.

Verbeter uw informatie over bedreigingen

Bekijk hoe de SentinelOne service WatchTower voor het opsporen van bedreigingen meer inzichten kan opleveren en u kan helpen aanvallen te slim af te zijn.

Meer leren

Soorten indicatoren van compromittering

Er zijn verschillende soorten IoC's, elk met unieke kenmerken en toepassingen. Deze omvatten:

1. Netwerk-IoC's

Netwerk-IoC's zijn indicatoren die wijzen op verdachte activiteiten op een netwerk. Dit kunnen ongebruikelijke verkeerspatronen zijn, verbindingen met bekende kwaadaardige IP-adressen of domeinen, en het gebruik van onverwachte protocollen of poorten. Netwerk-IoC's kunnen worden gedetecteerd met behulp van verschillende netwerkmonitoringtools, waaronder Intrusion Detection Systems (IDS) en Security Information and Event Management (SIEM) systemen.

2. Hostgebaseerde IoC's

Hostgebaseerde IoC's zijn indicatoren die wijzen op verdachte activiteiten op een specifieke computer of een specifiek systeem. Dit kunnen ongebruikelijke bestandsactiviteiten zijn, verdachte processen of services die worden uitgevoerd en onverwachte wijzigingen in de configuratie-instellingen van het systeem. Hostgebaseerde IoC's kunnen worden gedetecteerd met behulp van verschillende endpointbeveiligingsoplossingen, waaronder Endpoint Detection and Response (EDR) of XDR (Extended Detection and Response) tools.

3. Bestandsgebaseerde IoC's

Bestandsgebaseerde IoC's zijn indicatoren die wijzen op de aanwezigheid van schadelijke bestanden of malware op een systeem. Dit kunnen bijvoorbeeld bestandshashes, bestandsnamen en bestandspaden zijn. Bestandsgebaseerde IoC's kunnen worden gedetecteerd met verschillende tools voor het scannen van bestanden, waaronder EDR-software en sandboxing-tools.

4. Gedragsgebaseerde IoC's

Gedragsgebaseerde IoC's zijn indicatoren die wijzen op verdachte gebruikersactiviteit op een netwerk of systeem. Dit kunnen bijvoorbeeld meerdere mislukte inlogpogingen, ongebruikelijke inlogtijden en ongeoorloofde toegang tot gevoelige gegevens zijn. Gedragsgebaseerde IoC's kunnen worden gedetecteerd met behulp van tools voor gebruikersmonitoring, waaronder User and Entity Behavior Analytics (UEBA). SentinelOne XDR maakt gebruik van een combinatie van gedragsgebonden IoC's, geavanceerde analyses, machine learning en gedragsanalyses om bedreigingen in realtime te detecteren en erop te reageren.

Voorbeelden van indicatoren van compromittering

1. Ongebruikelijk uitgaand netwerkverkeer

Afwijkingen in netwerkverkeerpatronen en -volumes zijn de meest voorkomende tekenen van een inbreuk op de beveiliging. Het wordt steeds moeilijker om indringers uit uw netwerk te weren. Het kan nuttig zijn om uitgaand verkeer te monitoren op mogelijke indicatoren van compromittering. Wanneer een indringer probeert gegevens uit uw netwerk te halen of een geïnfecteerd systeem informatie doorgeeft aan een command-and-control-server, kan ongebruikelijk uitgaand netwerkverkeer worden gedetecteerd.

2. Geografische afwijkingen

Een ander veelvoorkomend type indicator van compromittering zijn geografische afwijkingen. Als er een ongebruikelijke hoeveelheid verkeer afkomstig is uit een bepaald land of een bepaalde regio, kan dit een teken zijn dat het systeem is gecompromitteerd. Als uw bedrijf gevestigd is in Los Angeles, is het zorgwekkend als u ziet dat een gebruiker vanuit een ander land met een slechte reputatie op het gebied van internationale cybercriminaliteit verbinding maakt met uw netwerk. Door IP-adressen op het netwerk en hun locatie te monitoren, kunnen cyberaanvallen worden gedetecteerd voordat ze schade kunnen toebrengen aan uw organisatie. Meerdere verbindingen met uw accounts vanuit onverwachte locaties kunnen een goede indicator zijn van een inbreuk.

3. Onverklaarbare activiteit door geprivilegieerde gebruikersaccounts

Bij complexe cyberaanvallen, zoals geavanceerde persistente bedreigingen, compromitteren aanvallers vaak gebruikersaccounts met lage privileges voordat ze hun privileges en autorisaties escaleren. Beveiligingsmedewerkers moeten letten op verdacht gedrag van geprivilegieerde gebruikersaccounts, aangezien dit een aanwijzing kan zijn voor interne of externe aanvallen op de systemen van de organisatie.

4. Abnormaal accountgedrag

Afwijkingen in accountgedrag, zoals wijzigingen in inlogtijden, ongebruikelijke toegang tot bestanden of databases en mislukte inlogpogingen, kunnen wijzen op een datalek. Beveiligingspersoneel moet dit gedrag in de gaten houden om een mogelijke inbreuk op de beveiliging op te sporen en te voorkomen.

5. Abnormale bestandswijzigingen

Onverwachte wijzigingen in systeembestanden of ongeoorloofde software-installatie kunnen wijzen op een datalek. Een aanvaller kan deze wijzigingen gebruiken om controle over het systeem te krijgen of gevoelige gegevens te exfiltreren. Getraind personeel moet deze wijzigingen bijhouden en onmiddellijk actie ondernemen als ze worden gedetecteerd.

6. Communicatie met bekende kwaadaardige IP-adressen

Aanvallers gebruiken vaak bekende kwaadaardige IP-adressen om het geïnfecteerde systeem te controleren of gevoelige gegevens te exfiltreren. Beveiligingsprofessionals moeten de communicatie met deze IP-adressen monitoren om een mogelijk datalek te detecteren en te voorkomen.

7. Ongeautoriseerde netwerkscans

Ongeautoriseerde netwerkscans kunnen wijzen op een verkenningsaanval aanval, waarbij aanvallers informatie over het doelnetwerk proberen te verkrijgen met behulp van open-source of eigen scantools.

8. Verdachte bestanden of processen

Malware wordt vaak vermomd als legitieme software, wat betekent dat kwaadaardige bestanden en processen in het volle zicht op uw netwerk verborgen kunnen zijn. Als u een verdacht bestand of proces opmerkt dat u niet herkent op uw systeem, kan dit een teken zijn van een aanval. Het is essentieel om deze bestanden en processen grondig te onderzoeken om hun legitimiteit vast te stellen.

9. Ongebruikelijk systeemgedrag

Ongebruikelijk systeemgedrag, zoals onverwachte herstarts, crashes of trage prestaties, kan ook een teken zijn van een IoC. Aanvallers kunnen denial-of-service-aanvallen of aanvallen waarbij bronnen worden uitgeput gebruiken om systemen te verstoren of plat te leggen. Als u onverwacht gedrag van uw systemen opmerkt, is het essentieel om te onderzoeken of er sprake is van een beveiligingsrisico.

10. Phishing-e-mails Phishing-e-mails zijn een veelgebruikte manier voor aanvallers om toegang te krijgen tot gevoelige informatie of malware te installeren op het systeem van een slachtoffer. Deze e-mails kunnen moeilijk te herkennen zijn, omdat ze vaak lijken op legitieme berichten van betrouwbare bronnen. Als u echter verdachte e-mails opmerkt, zoals verzoeken om inloggegevens of links naar onbekende websites, is het belangrijk om voorzichtig te zijn en dit verder te onderzoeken.

11. Pogingen tot social engineering

Social engineering-aanvallen zijn een andere veelgebruikte tactiek die aanvallers gebruiken om toegang te krijgen tot gevoelige informatie. Bij deze aanvallen worden personen gemanipuleerd om gevoelige informatie prijs te geven of handelingen te verrichten die niet in hun belang zijn. Een aanvaller kan zich bijvoorbeeld voordoen als een betrouwbare bron, zoals een leverancier of medewerker, om toegang te krijgen tot gevoelige gegevens of malware te installeren. Het is essentieel om medewerkers voor te lichten over de gevaren van social engineering-aanvallen en hoe ze deze kunnen herkennen en vermijden.

12. Webverkeersniveaus

Een ander veelvoorkomend type indicator van compromittering zijn webverkeersniveaus. Als er een ongebruikelijke piek is in het webverkeer naar een bepaalde website of een bepaald IP-adres, kan dit een teken zijn dat het systeem is gecompromitteerd. Daarnaast moet u letten op ongebruikelijk inkomend en uitgaand netwerkverkeer, DNS-verzoeken (Domain Name Servers) en registerconfiguraties, en een toename van onjuiste aanmeldingen of toegangsverzoeken die kunnen duiden op brute force-aanvallen.

13. DDoS-indicatoren

DDoS-indicatoren detecteren en reageren op distributed denial of service (DDoS)-aanvallen. Als er een ongebruikelijke hoeveelheid verkeer afkomstig is van een bepaald IP-adres of een bepaald bereik van IP-adressen, kan dit een teken zijn dat het systeem wordt aangevallen.

Waarom zijn indicatoren van compromittering (IoC's) niet voldoende?

Hoewel het essentieel is om IoC's te begrijpen, is er meer nodig dan alleen technische indicatoren om geavanceerde bedreigingen te detecteren. Aanvallers worden steeds geavanceerder in hun aanpak en kunnen traditionele IoC-detectiemethoden gemakkelijk omzeilen. Daarom moet een uitgebreide aanpak van IoC's ook geavanceerde technieken voor het detecteren van bedreigingen omvatten, zoals op machine learning gebaseerde anomaliedetectie en gedragsanalyse. Bovendien moeten IoC's niet afzonderlijk worden beschouwd, maar deel uitmaken van een breder programma voor dreigingsinformatie dat informatie bevat over de nieuwste dreigingsactoren, tactieken en motivaties. Deze aanpak kan organisaties helpen om bedreigingen proactief te detecteren en erop te reageren voordat ze zich voordoen.

Indicatoren van compromittering benutten

Organisaties moeten een robuuste beveiligingsstrategie hebben om IoC's effectief te kunnen benutten. Deze strategie moet het volgende omvatten:

1. Uitgebreide detectie en respons (XDR) – Met XDR kunnen organisaties beveiligingsgegevens uit meerdere bronnen, waaronder IoC's, verzamelen, analyseren en correleren om potentiële bedreigingen te detecteren. Sommige organisaties gebruiken SIEM-tools (Security Information and Event Management) om een deel van de dekking te krijgen die XDR kan bieden.
2. Endpoint Security Platforms – Met deze platforms kunnen beveiligingsteams regels verzamelen, doorzoeken en afdwingen tegen IoC's.
3. Threat Intelligence Platforms (TIP's) – TIP's bieden organisaties toegang tot samengestelde feeds met dreigingsinformatie, waaronder IoC's, zodat ze op de hoogte blijven van de nieuwste dreigingen.
4. Incident Response Plans (IRP's) – Organisaties moeten gedetailleerde IRP's ontwikkelen waarin de stappen worden beschreven die moeten worden genomen bij een beveiligingsincident, waaronder het gebruik van IoC's om potentiële bedreigingen te detecteren en erop te reageren.

Best practices voor IOC-beheer

Als u IOC's effectief wilt beheren, zijn er verschillende best practices die u moet volgen:

Geef prioriteit aan identiteitsbeveiliging – Zorg ervoor dat u beschikt over krachtige controles voor identiteits- en toegangsbeheer. Zo kunt u vaststellen wie toegang heeft tot wat en kunt u ongebruikelijke activiteiten detecteren.
Segmenteer netwerken – Door uw netwerk te segmenteren, kunt u de schade als gevolg van een inbreuk beperken. Door kritieke systemen te scheiden van minder belangrijke systemen, kunt u de kans verkleinen dat een aanvaller toegang krijgt tot gevoelige informatie.
Verzamel cyberdreigingsinformatie – Blijf op de hoogte van de nieuwste cyberdreigingen en trends. Dit helpt u nieuwe bedreigingen te identificeren en maatregelen te nemen om deze te beperken.
Gebruik IOC-tools – Er zijn veel tools beschikbaar die u kunnen helpen IOC's effectief te beheren. Hieronder vallen platforms voor dreigingsinformatie, Extended Detection and Response-systemen (XDR) en Endpoint Detection and Response-oplossingen (EDR).

Een type tool dat bijzonder nuttig is voor het beheren van IOC's is een EDR (Endpoint Detection and Response) of XDR (Extended Detection and Response) oplossing. Deze oplossingen maken gebruik van een combinatie van geavanceerde analyses, machine learning en gedragsanalyses om bedreigingen in realtime te detecteren en erop te reageren.

Verbeter de cyberbeveiliging met SentinelOne

De meest effectieve cyberbeveiligingsstrategie combineert menselijke hulpbronnen met geavanceerde technologische oplossingen, zoals kunstmatige intelligentie (AI), machine learning (ML) en andere vormen van intelligente automatisering. Deze tools helpen bij het detecteren van abnormale activiteiten en het verkorten van de responstijd en hersteltijd. Als u op zoek bent naar een EDR- of XDR-oplossing om uw cyberbeveiliging te verbeteren, is SentinelOne een uitstekende keuze. SentinelOne biedt een uitgebreid, AI-aangedreven beveiligingsplatform dat u kan helpen om bedreigingen snel en effectief te detecteren en erop te reageren.

Conclusie

Indicators of Compromise (IoC's) zijn cruciale hulpmiddelen om organisaties te helpen bij het detecteren en beperken van potentiële beveiligingsincidenten. Door gebruik te maken van IoC's kunnen organisaties bedreigingen snel detecteren, toekomstige bedreigingen monitoren, de respons op incidenten verbeteren en informatie over bedreigingen delen met andere organisaties. Om IoC's effectief te kunnen gebruiken, hebben organisaties echter een robuuste beveiligingsstrategie nodig die XDR-tools, TIP's en gedetailleerde IRP's omvat.

Veelgestelde vragen over indicatoren van compromittering

Een indicator van compromittering (IoC) is bewijs dat uw systeem is gehackt of aangevallen door cybercriminelen. Dit zijn digitale forensische artefacten die beveiligingsteams gebruiken om kwaadaardige activiteiten op netwerken en systemen te identificeren. IoC's kunnen bestaan uit ongebruikelijk netwerkverkeer, gewijzigde bestanden, verdachte processen of ongeoorloofde toegangspogingen. Ze helpen u aanvallen te detecteren nadat ze hebben plaatsgevonden en toekomstige incidenten te voorkomen.

U kunt IoC's vinden zoals ongebruikelijke uitgaande netwerkverbindingen naar onbekende IP-adressen, onverwachte bestandswijzigingen of -verwijderingen, nieuwe gebruikersaccounts die zonder toestemming zijn aangemaakt of processen die vanaf ongebruikelijke locaties worden uitgevoerd. Als u bijvoorbeeld netwerkverkeer naar verdachte domeinen, bestanden met onverwachte extensies of inlogpogingen vanuit het buitenland ziet, zijn dit duidelijke aanwijzingen dat uw systeem mogelijk is gecompromitteerd.

U moet IoC's monitoren omdat ze helpen bij het detecteren van aanvallen die uw eerste beveiligingsmaatregelen omzeilen. Door vroegtijdige detectie kunt u inbreuken indammen voordat aanvallers gevoelige gegevens stelen of aanzienlijke schade aanrichten. Regelmatige IoC-monitoring helpt uw beveiligingsteam om aanvalspatronen te begrijpen, de responstijd op incidenten te verbeteren en soortgelijke aanvallen in de toekomst te voorkomen. Het is een cruciaal onderdeel van het handhaven van een sterke cyberbeveiliging.

U moet controleren op ongebruikelijke netwerkverbindingen, onverwachte bestandswijzigingen, nieuwe gebruikersaccounts, verdachte actieve processen en gewijzigde systeemconfiguraties. Let op bestanden op ongebruikelijke locaties, onverwachte netwerkverkeerpatronen, mislukte inlogpogingen en wijzigingen in kritieke systeembestanden. Controleer ook op ongebruikelijk CPU- of geheugengebruik, nieuwe geplande taken en wijzigingen in beveiligingsinstellingen of antivirusconfiguraties.

Indicatoren van aanvallen (IoA's) geven aan dat er in realtime een aanval plaatsvindt, terwijl indicatoren van compromittering (IoC's) het bewijs zijn dat er al een aanval heeft plaatsgevonden. IoA's helpen u bij het detecteren en stoppen van aanhoudende aanvallen, zoals verdachte netwerkscans of pogingen om malware uit te voeren.

IoC's zijn forensisch bewijs dat u achteraf vindt, zoals gewijzigde bestanden of ongeautoriseerde toegangslogboeken, waarmee u kunt achterhalen wat er is gebeurd.