Indicador de Comprometimento (IoC).

Um Indicador de Comprometimento é um artefato forense que defensores usam para detectar atividade maliciosa conhecida durante ou após uma intrusão. IoCs comuns incluem hashes criptográficos de malware, IPs suspeitos, domínios de comando e controle, URLs maliciosas, nomes de mutex, chaves de registro e indicadores de e-mail. IoCs são fáceis de compartilhar via STIX/TAXII e operacionalizar em SIEM, EDR, firewalls e filtros DNS.

A Pirâmide da Dor de David Bianco (2013) explica por que o tipo de IoC importa: hashes e IPs ficam na base — triviais de trocar para um atacante — enquanto ferramentas e TTPs no topo são muito mais custosos de alterar. Rotacionar o hash de um único dropper mal incomoda um adversário maduro, mas obrigá-lo a reconstruir toda a cadeia de ferramentas, sim. Durante a investigação da SolarWinds em 2020, os defensores publicaram hashes e regras YARA para o backdoor SUNBURST, mas a detecção confiável dependeu, no fim, da caça baseada em comportamento, porque os indicadores atômicos foram queimados e rotacionados rapidamente.

Como os atacantes rotacionam artefatos atômicos com rapidez, programas maduros os combinam com IoAs e TTPs. Os IoCs seguem valiosos para bloqueio rápido de alta fidelidade e para caça retrospectiva: varrer logs históricos para achar onde um indicador recém-divulgado já estava presente.

flowchart TD
  A[Atividade de intrusão] --> B[Coletar artefatos]
  B --> C[Hashes / IPs / domínios]
  B --> D[Chaves de registro / mutexes]
  C --> E[Normalizar para STIX]
  D --> E
  E --> F[Compartilhar via feed TAXII]
  F --> G[Aplicar em SIEM / EDR / DNS]
  G --> H[Bloquear e caçar em logs históricos]