Индикаторы компрометации (IOC): где искать и как использовать для защиты

Кибератака редко проходит без технических следов. Подозрительный домен, хеш файла или IP-адрес могут помочь обнаружить угрозу, связать события и ускорить расследование. Но для этого важно понимать, где брать индикаторы компрометации, как проверять их качество и когда им можно доверять. Разберем путь от поиска IOC до применения в средствах защиты.

Почему важно знать, где искать IOC и что они означают

В инфраструктуре компании ежедневно возникают тысячи событий, большая часть которых относится к нормальной работе систем. Индикаторы компрометации помогают выделить совпадения с уже известными признаками вредоносной активности и быстрее перейти к проверке. Поэтому IOC в ИБ полезны не как отдельный список адресов, а как данные для сопоставления с внутренней телеметрией.

Если кратко, индикаторы компрометации — это технические признаки, которые могут указывать на вредоносную активность или уже произошедший инцидент. Они встречаются как в сетевом трафике, так и непосредственно на рабочих станциях, серверах и других узлах инфраструктуры. К наиболее распространенным IOC относятся:

• IP-адреса, связанные с вредоносной инфраструктурой или управляющими серверами.
• Домены и поддомены, используемые для фишинга, распространения вредоносного ПО или связи с атакующим.
• URL вредоносных страниц, файлов и ресурсов для загрузки.
• Хеши файлов, позволяющие однозначно сопоставить обнаруженный объект с известным вредоносным образцом.
• Хостовые артефакты — например, нетипичные соединения, изменения системных объектов, имена процессов, файлов и характерные пути их размещения на устройстве, а также другие следы активности, обнаруженные в ходе расследования.

Ценность индикаторов компрометации во многом зависит от их актуальности и контекста. IP-адрес может перестать использоваться злоумышленником, контроль над скомпрометированным доменом — вернуться законному владельцу, а размещенная на вредоносном URL полезная нагрузка может быть удалена с веб-сервера. Поэтому IOC важно оценивать вместе с источником, датами первого и последнего обнаружения и сроком актуальности.

Дополнительную ценность дают связи индикатора с другими объектами и событиями. Для компаний, использующих SIEMсистема централизованного сбора, сопоставления и анализа событий информационной безопасности, EDRрешение для мониторинга конечных устройств, выявления подозрительной активности и реагирования на нее, NGFW и TI-фиды, это позволяет находить совпадения в DNS-журналах, прокси-логах, событиях конечных устройств и других источниках. При этом совпадение с IOC указывает на потенциально опасную активность, но само по себе не всегда подтверждает успешную атаку.

Важно также отличать IOC от более широких признаков атаки. Индикатор компрометации обычно описывает конкретный технический объект или след, тогда как IoAпризнаки атаки, которые описывают подозрительное поведение, последовательность действий или техники злоумышленника отражает характерное поведение злоумышленника, последовательность действий или способ проведения атаки. Поэтому IOC в ИБ помогает находить уже известные следы угроз, а поведенческие признаки — выявлять атаку даже после смены домена, IP-адреса или файла.

Какие бывают индикаторы компрометации и где их искать

Наиболее распространенные виды связаны с сетевой активностью и объектами на конечных устройствах. При анализе вредоносного ПО особенно важны индикаторы компрометации вредоносных программ — они помогают сопоставить обнаруженный объект или соединение с уже известной угрозой.

Внешний поиск индикаторов компрометации позволяет получать сведения об угрозах, которые еще могли не проявиться внутри инфраструктуры компании. Для этого используют коммерческие Threat Intelligence Feeds, публичные базы, технические отчеты исследовательских центров и публикации команд реагирования на инциденты. Такая киберразведка угроз помогает заранее получить сведения о вредоносных доменах и другой инфраструктуре атакующих.

Основными внешними источниками IOC могут быть:

• Коммерческие TI-фиды с регулярным обновлением и проверкой данных.
• Публичные базы вредоносных доменов, IP-адресов, URL и файловых хешей.
• Технические отчеты исследовательских центров и команд реагирования.
• Публикации о вредоносных программах, фишинговых кампаниях и действиях киберпреступных группировок.

Внутри компании поиск индикаторов компрометации строится на собственной телеметрии. Технические следы вредоносной активности ищут в журналах SIEM, событиях EDR, DNS-запросах, прокси-логах, почтовом трафике и данных, полученных во время расследований. Например, обнаруженный хеш вредоносного файла можно проверить на других рабочих станциях и серверах, а подозрительный домен — найти в истории DNS-запросов и сетевых соединений.

Полнота внутренних данных напрямую влияет на результат такого поиска. Если нужные события не собираются, даже актуальный IOC не поможет установить, появлялась ли угроза в инфраструктуре раньше. Поэтому при работе с конечными устройствами важно учитывать глубину телеметрии EDR: чем полнее фиксируются действия процессов, тем больше возможностей для проверки индикаторов компрометации вредоносных программ и ретроспективного анализа.

Как оценивать качество

Не все технические следы вредоносной активности одинаково полезны. IP-адрес может быть переназначен, домен может вернуться под контроль законного владельца, а инфраструктура атакующего — исчезнуть, поэтому старый IOC способен создавать ложные срабатывания. Помимо этого, нельзя исключать ситуаций, когда злоумышленники используют в киллчейне легитимные инструменты, маскируясь под действия пользователей или системных администраторов, и блокировка такого «легитимного индикатора» может привести к остановке работы. Качество стоит оценивать по свежести, точности, уникальности, покрытию реальных сценариев и наличию контекста.

Чтобы сократить число нерелевантных срабатываний, нужны не просто массивы данных, а актуальные, очищенные и проверенные данные с дополнительным контекстом. Solar TI Feedsсервис доставки и анализа актуальных данных о киберугрозах с индикаторами, контекстом и правилами обнаружения атак объединяет индикаторы из собственных источников, используя сенсоры в сети «Ростелеком», телеметрию Solar JSOC и экспертизу центра исследования киберугроз Solar 4RAYS. Данные проходят автоматическую обработку и ручную верификацию, а готовые фиды можно интегрировать в действующие средства мониторинга и защиты.

Оценивать IOC лучше по набору метрик, а не по числу записей в фиде. Доля ложных срабатываний показывает уровень шума, скорость устаревания — пригодность для оперативной защиты, а уникальность помогает понять добавочную ценность источника. Покрытие и связи с TTPтактики, техники и процедуры, которые описывают способы действий атакующих важны для расследований, потому что позволяют перейти от отдельного объекта к пониманию действий атакующего.

Solar TI Feeds предоставляет по каждому индикатору временные метки появления и обновления IOC, информацию об источнике, уровень опасности и другие связанные сущности. Это дает возможность быстро оценить актуальность и окружение угрозы при срабатывании или настройке правил корреляции. Аналитик тратит меньше времени на проверку и быстрее сравнивает сигналы из нескольких ресурсов.

Контекст важнее отдельного IOC

«Ценность индикатора определяется актуальностью, происхождением, связями с другими объектами и возможностью подтвердить активность во внутренней телеметрии. Чем богаче контекст, тем меньше времени аналитик тратит на шум и тем быстрее выбирает обоснованное действие.»

Антон Шепелев

аналитик группы Threat Intelligence Solar 4RAYS

В корпоративной защите контекст нужен для приоритизации реагирования на киберугрозы. Новый след активности, связанный с актуальной вредоносной кампанией, требует более быстрого внимания, чем единичное обращение к сомнительному ресурсу, которое было заблокировано и не сопровождалось другими подозрительными событиями. Поэтому зрелая киберразведка угроз дает не только значение объекта, но и сведения о его происхождении и связях.

Как использовать IOC и нормализовать TI-фиды

После проверки индикаторы компрометации встраивают в несколько сценариев защиты. В SIEM и EDR их используют для поиска совпадений и ретроспективной проверки, в NGFW и шлюзах — для блокировки подтвержденных объектов, а при расследовании — для обогащения событий. Так IOC в ИБ сокращает путь от обнаружения сигнала до решения аналитика.

Если организация получает данные от нескольких поставщиков, их необходимо нормализовать. Для этого к единому виду приводят основные параметры:

• Тип индикатора.
• Значение индикатора в едином формате.
• Источник данных.
• Даты первого и последнего обнаружения.
• Срок актуальности индикатора.
• Уровень доверия или критичности.

Без нормализации Threat Intelligence Feeds сложнее сравнивать и объединять, а их использование в автоматических сценариях повышает риск ошибок.

Следующий уровень — скоринг. Рейтинг можно рассчитывать по надежности источника, свежести, независимым подтверждениям, истории ложных срабатываний и контексту. Высокий балл может быть основанием для автоматического действия, средний — для проверки, а низкий — только для обогащения. Так IOC в ИБ не превращается в поток одинаково приоритетных алертов.

Почему качественные TI-фиды важнее объема и как выбрать фид

Открытые источники (open-source) полезны, но различаются по скорости обновления, полноте контекста и правилам проверки. Для автоматической защиты особенно важно понимать происхождение индикатора и его текущую актуальность. Большое количество записей не компенсирует высокий процент устаревших или нерелевантных данных.

Фид лучше выбирать под конкретную задачу:

• Для SOC — быстро обновляемые данные об угрозах с контекстом и уровнем критичности.
• Для расследований — история активности, связи между объектами и событиями.
• Для защиты периметра — актуальные и проверенные сведения о вредоносных IP-адресах, доменах и URL с низкой долей ложных срабатываний.
• Для threat hunting — уникальные данные об угрозах, история активности и правила обнаружения атак.

Такой подход помогает подключать действительно нужные данные, снижать количество лишних срабатываний и оценивать практическую пользу фида.

Перед промышленным подключением источник лучше проверить на своей инфраструктуре. Пилотное тестирование помогает оценить качество данных, совместимость с действующими средствами защиты и полноту контекста. Критерии стоит определить заранее, например:

• Количество полезных совпадений.
• Долю ложных срабатываний.
• Уникальность индикаторов.
• Влияние на скорость расследования и прочее.

Проверьте поставщика TI-фидов до подключения. Скачайте памятку «Выбираем сервис TI Feeds» и проверьте поставщика по источникам данных, верификации, региональной релевантности и глубине контекста.

Скачать памятку

Почему Solar TI Feeds подходит для работы с IOC

Для постоянной работы с внешними индикаторами компрометации важно не только получать новые IOC, но и понимать, насколько им можно доверять. Solar TI Feeds объединяет данные от сенсоров в сети «Ростелекома», телеметрию Solar JSOC и результаты исследований Solar 4RAYS. Перед передачей клиентам информация проходит автоматическую обработку и дополнительную проверку аналитиками, что помогает отсеивать устаревшие и нерелевантные индикаторы.

Сервис можно использовать для нескольких задач информационной безопасности:

• Автоматически блокировать подтвержденные вредоносные IP-адреса, домены и другие объекты.
• Обогащать события в SIEM дополнительными сведениями об угрозе.
• Использовать данные для контроля политик безопасности и threat hunting.
• Обогащать/пополнять актуальными индикаторами средства защиты, используя API или локальный агент.
• Выполнять поиск индикаторов компрометации в TI Portal по IP-адресам, доменам, URL и хешам.
• Просматривать историю найденных индикаторов, дополнительный контекст и связи с другими объектами.

Solar TI Feeds передает не только сами индикаторы компрометации, но и контекст, необходимый для их проверки и приоритизации. Сервис также предоставляет правила обнаружения атак, которые для новых угроз формируются менее чем за 24 часа. Перед промышленным подключением возможности решения можно проверить на собственной инфраструктуре — пилот сервиса Solar TI Feeds помогает оценить качество данных, интеграцию с действующими средствами защиты и практическую пользу фидов для SOC.

Превратите IOC в управляемый слой защиты

Эффективная работа с индикаторами компрометации начинается не с максимального числа фидов, а с понятного процесса. Источник нужно оценить, данные — нормализовать, совпадения — проверить по внутренней телеметрии, а реакцию — связать с уровнем доверия. Тогда технические следы вредоносной активности находятся под постоянным мониторингом вместо разовых проверок инцидентов.

Наибольшую ценность дает сочетание внешней аналитики и внутренних событий. Внешний поток сообщает о новой угрозе, а собственная телеметрия показывает, касалась ли она конкретной инфраструктуры. Так IOC в ИБ помогает быстрее находить связанные события и превращает индикаторы компрометации в рабочий механизм реагирования.

Для российских компаний особенно важны актуальность, региональная релевантность и возможность проверить фид до промышленного запуска. Solar TI Feeds предоставляет верифицированные IOC и контекст, а пилот позволяет измерить пользу на реальных событиях организации. Если критерии качества заданы заранее, команда может увидеть, насколько новый источник снижает ручную нагрузку и ускоряет реагирование.

Проверьте качество IOC на своей инфраструктуре

Подайте заявку на пилот Solar TI Feeds и оцените актуальность индикаторов, глубину контекста, качество интеграции и количество полезных совпадений на ваших средствах защиты.

Запросить пилот

Часто задаваемые вопросы