Indicator of Compromise (IoC).

Ein Indicator of Compromise ist ein forensisches Artefakt, mit dem Verteidiger bekannte schädliche Aktivitäten während oder nach einer Intrusion erkennen. Typische IoCs sind kryptografische Hashes von Malware, verdächtige IP-Adressen, Command-and-Control-Domains, schädliche URLs, Mutex-Namen, Registry-Schlüssel und E-Mail-Indikatoren. IoCs lassen sich gut über STIX/TAXII austauschen und in SIEM, EDR, Firewalls und DNS-Filtern operationalisieren.

David Biancos Pyramid of Pain (2013) erklärt, warum der IoC-Typ zählt: Hashes und IPs stehen unten – für Angreifer trivial zu ändern – während Tools und TTPs an der Spitze weitaus teurer zu ändern sind. Einen einzelnen Dropper-Hash zu rotieren stört einen reifen Gegner kaum, ihn aber zum Neubau seiner Toolchain zu zwingen schon. Bei der SolarWinds-Untersuchung 2020 veröffentlichten Verteidiger Hashes und YARA-Regeln für die SUNBURST-Backdoor, doch verlässliche Erkennung beruhte letztlich auf verhaltensbasiertem Hunting, weil die atomaren Indikatoren schnell verbrannt und rotiert wurden.

Da Angreifer atomare Artefakte rasch rotieren, kombinieren reife Programme sie mit IoAs und TTPs. IoCs bleiben wertvoll für schnelles, hochpräzises Blocken und für rückwirkendes Threat Hunting: das Durchsuchen historischer Logs, um zu finden, wo ein neu veröffentlichter Indikator bereits präsent war.

flowchart TD
  A[Intrusions-Aktivität] --> B[Artefakte sammeln]
  B --> C[Hashes / IPs / Domains]
  B --> D[Registry-Schlüssel / Mutexe]
  C --> E[In STIX normalisieren]
  D --> E
  E --> F[Über TAXII-Feed teilen]
  F --> G[In SIEM / EDR / DNS durchsetzen]
  G --> H[Blocken und historische Logs jagen]