危害指标(ioc)

What is the Process for Identifying IOCs? 

The process for identifying IOCs is a process of poring through analytics 和 威胁情报 to identify anomalous behaviors that could be nefarious – or could be nothing at all. 同样，分析师和调查人员需要在很大程度上依赖背景来取得重大进展.

也就是说, 并非所有识别即将达成妥协的早期指标的过程都是相同的，甚至是相似的. They’ll be business 和 use-case specific. Let’s take a look at some more common IOC identification methods:

• 特定于操作系统的恶意软件持久性机制和进程注入方法:此策略通过检查当前运行的进程来检测行为和通信中的异常情况, 计划任务, 和常见的藏身之处. 
• 攻击者 横向运动此策略通过利用威胁情报和用户行为分析实时发现攻击者的路径. 
• 常见攻击工具此策略通过寻找攻击者活动的证据来验证可疑的妥协, including modified registry keys or executable files left behind. 
• Indicators derived from investigations:此策略评估一个详尽的折衷指标列表，例如特权用户帐户异常, 地理上的违规行为, 或者可疑的注册表更改. 
• 特定于环境的考虑该策略通过花时间了解环境和用户之间的关系来识别杀伤链中的任何工件, 主机, 和流程.

ioc的例子 

Since IOCs are essentially clues that can – after some 数字取证 work – point to something nefarious, they can come in many shapes 和 sizes. Let's take a look at some examples of IOCs that can 和 should set off alarm bells: 

• 已知的不良IP地址: This is a rather common IOC 和 can be ephermeral, as bad actors may frequently change IP addresses. 
• 恶意的苛刻值: These work to help identify viruses 和 breach attempts. 如果安全团队的威胁情报可靠，他们可以主动将恶意散列列入黑名单. 
• Tactics, techniques, 和 procedures (ttp): ttp 包括恶意软件, cryptojacking (using your assets to mine cryptocurrency), 以及机密数据泄露. 
• 域: Domain name servers (DNS) logs will usually reflect anomalous request traffic that, 如果有规律地发生, 会是一个强大的国际奥委会吗. 
• 网络构件: From user accounts to logs to misconfigurations, 有许多工件的例子，威胁猎人可能会将其视为IOC，从而仔细查看. 
• 成功ful login after multiple failed attempts仅仅因为一个用户——或者也许是一台机器——能够成功地登录到网络，并不意味着他们有权利在那里. 如果在几次尝试失败后登录成功，这将是一个明显的迹象.
• 网络经济放缓: A network slowdown may be entirely due to something logical. 然而, it could also indicate heavier-than-normal activity, i.e. 攻击行为. 
• Exfiltration to an unknown, off-network location查看进程日志以及作业输出和配置可能会发现数据泄露和泄露的证据. 

妥协与妥协的指标. 攻击指标

There are several overlapping concepts between IOCs 和 indicators of attack (IOAs). 然而, 它有助于放大关键差异，以理解为什么分析师将问题定义为IOC或IOA. 

ioc是典型的工件

We've spoken about artifacts previously, but it may help to add some context. Artifacts are usually historical in nature. They are digital footprints of a malicious event that has already occurred, 并且是通过表演被发现的 威胁狩猎 基于特定的智力. 安全分析人员和威胁猎人也可以利用外部构件库来熟悉在自己的网络中寻找什么.

在发现藏物并确定有潜在的破坏或持续的威胁之后, teams can put an incident response plan into action. The faster security practitioners can learn that a compromise has actually taken place, the faster they can determine what happened, 回应, 并且——希望——对未来要寻找的文物种类有更好的了解.

IOAs are Typically Signs of Impending Attack 

IOAs help keep attacks out of your organization’s history. They are signs that an attack could be imminent. With IOAs, teams are able to take more of an offensive stance, acting on extended detection 和 response (XDR) 随着攻击面进一步扩大，超越网络边界的威胁遥测.

解释正确, IOAs will not only help teams 回应 to future or in-progress breaches, they can also help predict what an attacker might do 和 where they might go next. 这对于根据目标系统和试图访问和/或泄露的数据确定响应和补救工作的优先级非常有帮助.

国际石油公司的好处是什么? 

国际石油公司的好处有很多. 其中最主要的是，它们可以帮助公司修复漏洞，并可能提供有关攻击者行为类型的背景，以便在未来寻找. 让我们来看看其他几个: 

• 停止后期攻击: Sure, IOCs are typically artifacts of an attack that has already occured. 然而, 人工制品也可能指向一个仍在进行的更大攻击的一个完成阶段——一个仍然可以被阻止的阶段.
• 标准化优先级: ioc本身可能很有用，但它也有助于获得您可能获得的所有上下文. This helps to not only gain a clearer picture of attacker behavior, 但也要优先考虑首先采取哪些行动，以及如何最好地阻止攻击或为下一次攻击做准备. 许多解决方案都有 内置的功能 以丰富IOCs的背景，以便团队可以专注于最关键的漏洞.
• 防止疲劳一个可靠的风险缓解解决方案应该能够将ioc纳入自动响应计划，以防止安全团队被数据分析所淹没，并可能忽视可怕的威胁.
• 创建自定义警报了解组织的ioc可以帮助团队在平台或技术中创建特定的和定制的安全警报，以便他们知道何时发现了关注的工件.

Why are IOCs Important for an Effective 管理检测和响应 Program? 

国际石油公司对于有效的石油开采至关重要 管理检测和响应(MDR) 因为对于MDR提供商来说，能够在整个客户生态系统中识别ioc至关重要.

This helps the provider to spot trends in attacker behavior, build out net detections as IOCs are found, 定制事件响应计划, 并将这些信息传播给他们的客户群，以便这些单独的安全组织可以将IOC数据应用到他们自己的预防技术中.

对于MDR计划来说，考虑利用国际石油公司来通知违规响应所带来的效率提高和成本节约也很重要. Customer satisfaction is also a growth driver, 特别是在成功实施MDR提供商推荐的计划之后，或者在提供商自动测试ioc并将其应用于客户日志以在网络中出现这些指标时创建警报之后.

All of these aspects combine to help MDR providers retain customers, 改善自身运营, as well as strengthen the larger security community by sharing findings.

阅读更多

• Rapid7 博客: Year in Review: Rapid7 威胁情报