侵害指標(IoC).

侵害指標(IoC)とは、防御者が侵害中または侵害後に既知の悪性活動を検知するために用いるフォレンジックアーティファクトです。一般的な IoC には、マルウェアの暗号学的ハッシュ、不審な IP、コマンド&コントロールドメイン、悪性 URL、ミューテックス名、レジストリキー、メール由来の指標などがあります。IoC は STIX/TAXII で容易に共有でき、SIEM・EDR・ファイアウォール・DNS フィルタで運用できます。

David Bianco のペイン・ピラミッド(2013)は、IoC の種類が重要である理由を説明します。ハッシュや IP は底辺にあり、攻撃者が容易に変更できます。一方で頂点にあるツールや TTP の変更ははるかに高コストです。単一のドロッパーのハッシュを入れ替えても成熟した攻撃者はほとんど痛みを感じませんが、ツールチェーン全体の再構築を強いれば大きな痛手となります。2020 年の SolarWinds 調査では、防御側が SUNBURST バックドアのハッシュと YARA ルールを公開しましたが、原子的な指標が急速に焼かれ・入れ替えられたため、信頼できる検知は最終的に行動ベースのハンティングに依存しました。

攻撃者が原子的なアーティファクトを素早くローテーションするため、成熟したプログラムでは IoA や TTP と組み合わせて利用します。IoC は高精度の迅速な遮断や、遡及的な脅威ハンティング——新たに公表された指標が過去にどこで存在したかを履歴ログから洗い出す——において依然として価値があります。

flowchart TD
  A[侵害活動] --> B[アーティファクト収集]
  B --> C[ハッシュ / IP / ドメイン]
  B --> D[レジストリキー / ミューテックス]
  C --> E[STIX へ正規化]
  D --> E
  E --> F[TAXII フィードで共有]
  F --> G[SIEM / EDR / DNS で適用]
  G --> H[遮断し履歴ログを狩る]