Indicator of compromise

Wanneer een cyberaanval plaatsvindt, laat de aanvaller vrijwel altijd sporen achter in de getroffen systemen en netwerken. Deze digitale sporen worden Indicators of Compromise (IoC's) genoemd en vormen het forensische bewijs dat wijst op een beveiligingsincident. Denk aan verdachte IP-adressen die communiceren met je netwerk, onbekende bestanden die plotseling op systemen verschijnen, of ongebruikelijke inlogpatronen buiten kantooruren. IoC's zijn de digitale vingerafdrukken van een aanval en spelen een cruciale rol bij het detecteren, analyseren en bestrijden van cyberdreigingen. Hoe sneller je IoC's herkent, hoe sneller je kunt ingrijpen om de schade te beperken en de aanvaller uit je systemen te verwijderen.

IoC's komen in verschillende vormen voor en worden doorgaans onderverdeeld in drie categorieen. Netwerk-IoC's omvatten verdachte IP-adressen, domeinnamen en URL's die geassocieerd zijn met kwaadaardige activiteiten, zoals command-and-control-servers. Bestandsgebaseerde IoC's betreffen hashwaarden van malware-bestanden, verdachte bestandsnamen en ongeautoriseerde wijzigingen in systeembestanden. Gedragsgebaseerde IoC's beschrijven afwijkende patronen zoals ongebruikelijke datatransfers, privilege-escalatie of massale inlogpogingen die kunnen wijzen op een lopende aanval.

Waarom zijn Indicators of Compromise belangrijk?

IoC's vormen de ruggengraat van moderne dreigingsdetectie en zijn onmisbaar voor elke organisatie die serieus werk maakt van cybersecurity. Zonder IoC's ben je blind voor aanvallen die al hebben plaatsgevonden of nog gaande zijn. Een SIEM-systeem dat is gevoed met actuele IoC's kan automatisch alarmen genereren wanneer verdachte activiteiten worden gedetecteerd in je netwerk of op je endpoints. Dit verkort de tijd tussen het moment van een aanval en de detectie ervan, wat de zogenaamde dwell time vermindert en de potentiele schade beperkt.

De waarde van IoC's reikt verder dan individuele organisaties. Door IoC's te delen via threat intelligence-platforms kunnen organisaties elkaar waarschuwen voor actieve dreigingen die meerdere doelwitten treffen. Als een aanvaller dezelfde infrastructuur gebruikt om meerdere organisaties aan te vallen, kan het delen van IoC's ervoor zorgen dat andere potentiele doelwitten zich proactief beschermen voordat ze zelf worden getroffen. Dit collectieve verdedigingsmechanisme is een van de krachtigste wapens tegen georganiseerde cybercriminaliteit en statelijke dreigingsactoren.

IoC's helpen ook bij het reconstrueren van een aanval na een incident. Tijdens een forensisch onderzoek gebruik je IoC's om de tijdlijn van een aanval te reconstrueren, te bepalen welke systemen zijn gecompromitteerd en te achterhalen welke data mogelijk is buitgemaakt. Deze informatie is essentieel voor het incident response-proces, voor het voldoen aan meldplichten en voor het voorkomen van toekomstige aanvallen via dezelfde methoden.

Daarnaast vormen IoC's een brug tussen tactische en strategische dreigingsinformatie. Op tactisch niveau helpen ze bij het blokkeren van specifieke dreigingen door IP-adressen en hashes toe te voegen aan blokkeerlijsten. Op strategisch niveau onthullen patronen in IoC's de werkwijze, motivatie en capaciteiten van dreigingsactoren, wat je helpt om je verdediging structureel te verbeteren en te anticiperen op toekomstige aanvalsgolven.

Hoe pas je Indicators of Compromise toe?

De eerste stap is het verzamelen van IoC's uit betrouwbare bronnen. Dit omvat commerciele threat intelligence-feeds van aanbieders zoals CrowdStrike en Mandiant, open source intelligence (OSINT)-bronnen zoals AlienVault OTX en Abuse.ch, branchespecifieke ISAC's en overheidsinstanties zoals het NCSC. Het is belangrijk om meerdere bronnen te combineren om een zo compleet mogelijk beeld te krijgen van het dreigingslandschap dat relevant is voor jouw sector.

Integreer IoC's in je beveiligingsinfrastructuur zodat ze actief worden gebruikt voor detectie en blokkering. Laad IP-adressen en domeinnamen in je firewall en proxy-regels, importeer hashwaarden in je endpoint detection and response (EDR)-oplossing, en configureer je SIEM om te alerteren op bekende IoC-patronen. Automatisering is hierbij essentieel, want handmatige verwerking van duizenden IoC's per dag is niet realistisch en leidt tot vertragingen in je detectiecapaciteit.

Gebruik standaarden zoals STIX (Structured Threat Information Expression) en TAXII (Trusted Automated Exchange of Intelligence Information) voor het gestructureerd uitwisselen van IoC's met andere organisaties en platforms. Deze standaarden zorgen ervoor dat IoC's machineleesbaar zijn en automatisch kunnen worden verwerkt door verschillende beveiligingssystemen zonder handmatige tussenkomst. Het ATT&CK-framework van MITRE helpt bij het koppelen van IoC's aan specifieke aanvalstechnieken en dreigingsactoren, waardoor je beter begrijpt welk type aanval je detecteert.

Evalueer de kwaliteit van je IoC's regelmatig en onderhoud je IoC-database actief. Niet alle IoC's zijn even betrouwbaar of actueel. Een IP-adres dat vorige maand kwaadaardig was, kan inmiddels zijn opgeschoond of hergebruikt door een legitieme partij. Stel een proces in om verouderde IoC's te verwijderen en false positives te analyseren, zodat je detectiesystemen scherp blijven zonder je SOC-team te overspoelen met valse meldingen die de aandacht afleiden van echte dreigingen.

In de praktijk

Een typisch scenario in de praktijk: je SOC-team detecteert via het SIEM-systeem dat een werkstation communicatie maakt met een IP-adres dat bekend staat als command-and-control-server voor ransomware. Dit is een netwerk-IoC die onmiddellijke actie vereist. Het team isoleert het werkstation van het netwerk, analyseert het netwerkverkeer en onderzoekt of er aanvullende systemen zijn gecompromitteerd door te zoeken naar gerelateerde IoC's zoals specifieke bestandsnamen, registervermeldingen of laterale bewegingen naar andere systemen.

Bij een ander voorbeeld ontdekt een beveiligingsanalist dat meerdere medewerkers phishing-e-mails hebben ontvangen met een bijlage waarvan de hash overeenkomt met een bekende IoC voor een banking trojan. Door deze hash-IoC te delen met het endpoint protection-platform worden alle systemen in de organisatie automatisch gescand op de aanwezigheid van dit bestand, en worden eventuele besmette systemen direct in quarantaine geplaatst. Tegelijkertijd wordt de afzender-informatie als IoC gedeeld met het e-mailbeveiligingsplatform om toekomstige e-mails van dezelfde bron te blokkeren.

Grote organisaties maken vaak gebruik van Threat Intelligence Platforms (TIP's) om IoC's centraal te beheren en te operationaliseren. Deze platforms aggregeren IoC's uit tientallen bronnen, verrijken ze met contextinformatie zoals de gerelateerde dreigingsactor en aanvalstechniek, scoren ze op betrouwbaarheid en distribueren ze automatisch naar de juiste beveiligingssystemen. Dit maakt het mogelijk om binnen minuten na het verschijnen van een nieuwe dreiging de hele beveiligingsinfrastructuur bij te werken.

In de Nederlandse context deelt het NCSC IoC's met vitale aanbieders en rijksoverheidsorganisaties via beveiligde kanalen. Ook sectorale samenwerkingsverbanden wisselen IoC's uit, vaak onder de Chatham House Rule, om de collectieve weerbaarheid te versterken zonder individuele organisaties bloot te stellen. Het gebruik van gestandaardiseerde formaten zoals STIX maakt het mogelijk om IoC's snel en betrouwbaar te delen tussen verschillende organisaties en sectoren, ongeacht de beveiligingssystemen die ze intern gebruiken.

Veelgestelde vragen

Wat is het verschil tussen een IoC en een Indicator of Attack?

Een IoC wijst op een reeds voltooide compromittering, een IoA signaleert een lopende aanvalspoging.

Hoe lang blijft een IoC relevant?

Dit varieert sterk, van uren voor dynamische IP-adressen tot maanden voor malware-hashes.

Kan ik IoC's ook handmatig verwerken?

Bij kleine aantallen wel, maar automatisering via SIEM of TIP is sterk aanbevolen.

Waar vind je gratis IoC-bronnen?

Via platforms zoals AlienVault OTX, Abuse.ch en het NCSC worden gratis IoC's aangeboden.

Wat doe je als een IoC een false positive oplevert?

Documenteer de false positive, pas je detectieregels aan en meld het aan de bron.

Wil je beter begrijpen hoe IoC's passen in jouw detectiestrategie? Verken het complete cyberwoordenboek op IBgidsNL voor meer begrippen en uitleg.