Face à une attaque, un analyste peut chercher deux choses : ce que l'attaquant a laissé derrière lui, ou ce qu'il est en train de faire. La première approche repose sur les IOC, la seconde sur les IOA. Les deux sont indispensables, et les confondre conduit à mal choisir ses outils. Cet article explique IOC et IOA avec des exemples d'attaques réelles, les acronymes, l'usage, les publics concernés, le vocabulaire à connaître, puis MISP, la plateforme libre qui sert à partager les indicateurs et à bâtir une base de connaissance.
À retenir : un IOC est une trace (un fichier, une adresse, un domaine), un IOA est un comportement (une suite d'actions qui trahit l'intention). L'IOC dit « cette attaque est déjà connue », l'IOA dit « quelqu'un est en train d'attaquer, même avec un outil inconnu ».
Les acronymes à connaître
| Sigle | Signification | En une phrase |
|---|---|---|
| IOC | Indicator of Compromise (indicateur de compromission) | Une preuve qu'un système a été compromis |
| IOA | Indicator of Attack (indicateur d'attaque) | Un comportement qui révèle une attaque en cours |
| TTP | Tactics, Techniques and Procedures | Les méthodes de travail d'un attaquant |
| CTI | Cyber Threat Intelligence | Le renseignement sur les menaces |
| C2 ou C&C | Command and Control | Le serveur qui pilote un logiciel malveillant |
| APT | Advanced Persistent Threat | Un groupe organisé, souvent étatique, qui s'installe dans la durée |
| SOC | Security Operations Center | L'équipe qui surveille et détecte |
| SIEM | Security Information and Event Management | La plateforme qui centralise et corrèle les journaux |
| EDR / XDR | Endpoint / Extended Detection and Response | Les outils de détection sur les postes et au-delà |
| MISP | Malware Information Sharing Platform (aujourd'hui « Open Source Threat Intelligence and Sharing Platform ») | La plateforme libre de partage d'indicateurs |
| STIX / TAXII | Structured Threat Information eXpression / Trusted Automated eXchange of Intelligence Information | Le format et le protocole d'échange du renseignement |
| TLP | Traffic Light Protocol | Les étiquettes qui limitent la diffusion d'une information |
IOC : la trace laissée
Selon CrowdStrike, un IOC est une preuve, présente sur un ordinateur ou un réseau, qu'une intrusion a eu lieu : fichiers, entrées du registre, signatures réseau. Les exemples types sont l'empreinte (hash) d'un fichier malveillant, une adresse IP suspecte ou un domaine de commande et contrôle.
On distingue en pratique :
- les empreintes de fichiers (SHA-256, MD5) ;
- les adresses IP et les domaines de serveurs C2 ;
- les URL et les adresses e-mail utilisées par une campagne d'hameçonnage ;
- les artefacts sur le poste : nom de fichier, clé de registre, service ou tâche planifiée créés.
Leur force est la simplicité : on cherche une valeur exacte dans les journaux, on bloque une adresse, on retrouve les postes touchés. Leur limite est leur fragilité. La Pyramide de la douleur de David Bianco (2013) classe les indicateurs selon l'effort que leur blocage impose à l'attaquant :
| Niveau | Effort pour l'attaquant |
|---|---|
| Empreintes de fichiers | Trivial : changer un seul bit change l'empreinte |
| Adresses IP | Facile : il en change quand il veut |
| Noms de domaine | Facile à modérément : il faut les enregistrer et les héberger |
| Artefacts réseau et poste | Gênant : il doit comprendre comment il a été détecté |
| Outils | Difficile : il doit trouver, développer ou apprendre d'autres outils |
| TTP | Le plus pénible : il doit changer sa façon d'agir |
Les IOC vivent en bas de la pyramide : utiles pour réagir vite, mais périssables.
IOA : le comportement
Un IOA cherche l'intention, quel que soit le logiciel ou l'exploit utilisé. D'après CrowdStrike, il surveille la suite d'actions qu'un attaquant doit enchaîner pour réussir : compromission initiale, exécution de code, persistance, déplacement latéral, communication avec un serveur C2. L'approche est proactive : elle réagit pendant l'attaque, et fonctionne aussi contre les intrusions sans logiciel malveillant, les failles inconnues et les menaces résidant en mémoire, que les IOC ne voient pas.
Voici des IOA concrets, référencés dans MITRE ATT&CK, la base de connaissance des tactiques et techniques d'attaquants observées dans le monde réel :
| Comportement observé | Technique ATT&CK | Pourquoi c'est suspect |
|---|---|---|
| Une application bureautique lance PowerShell avec une commande encodée | T1059.001 | MITRE recommande de surveiller les processus parents inattendus (Office, navigateur) et les commandes encodées |
Un processus anormal ouvre un accès complet à lsass.exe puis vide sa mémoire |
T1003.001 | Vol d'identifiants, technique employée par plus de 100 groupes et campagnes selon MITRE |
Exécution de vssadmin delete shadows /all /quiet |
T1490 | Suppression des points de restauration avant chiffrement, utilisée par plus de 60 familles de rançongiciels |
Ces comportements résistent au changement d'outil : l'attaquant peut renommer son malware, pas se passer de voler des identifiants ou de détruire les sauvegardes.
Deux attaques lues de deux façons
WannaCry (mai 2017)
Le ver a utilisé EternalBlue, un exploit du protocole SMB, et la porte dérobée DoublePulsar, contre des systèmes non corrigés alors que le correctif MS17-010 existait depuis le 14 mars 2017, d'après Wikipédia. Le chercheur Marcus Hutchins a stoppé la propagation en enregistrant un nom de domaine codé en dur dans le programme, transformé en « puits » (sinkhole).
- IOC : ce domaine (
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com), les empreintes du binaire, un trafic SMB anormal entre postes. - IOA : propagation automatique par SMB depuis un poste vers d'autres, puis suppression des sauvegardes et chiffrement massif de fichiers. MITRE cite WannaCry parmi les familles utilisant T1490.
Les crochets [.] servent à « désarmer » un domaine ou une adresse dans un texte, pour éviter qu'un clic accidentel ne l'ouvre : c'est le defanging.
SolarWinds et SUNBURST (2020)
Selon l'avis de la CISA, des attaquants ont injecté une version malveillante de la bibliothèque solarwinds.orion.core.businesslayer.dll dans des mises à jour de la plateforme Orion, signée avec le vrai certificat de l'éditeur. La compromission remonte à mars 2020 au plus tard, et les États-Unis l'ont attribuée au SVR russe.
- IOC : le nom de domaine
avsvmcloud[.]com, utilisé pour la communication avec les machines infectées, les empreintes des fichiers SUNBURST et TEARDROP, ainsi que 54 adresses IPv4 et 15 domaines listés par la CISA. - IOA : une longue période de dormance, des balises DNS vers un domaine propre à chaque victime, puis du vol d'identifiants d'administrateurs, des connexions depuis des lieux « impossibles » et des jetons SAML à la durée de validité inhabituelle (24 heures au lieu d'une heure).
Un composant légitime, signé et de confiance a servi de vecteur : aucune empreinte connue ne pouvait le signaler au départ. Seuls le comportement et les anomalies d'authentification permettaient de le repérer avant la publication des IOC.
Un cas récent : l'infostealer Storm
Notre article sur l'infostealer Storm illustre la même dualité. Varonis publie des IOC (l'identifiant du vendeur sur le forum, un programme Windows en C++ d'environ 460 Ko), mais la vraie valeur défensive tient aux comportements : lecture des profils de navigateur et envoi de fichiers chiffrés vers un serveur distant, puis connexions depuis des lieux inhabituels.
IOC et IOA : lequel choisir ?
| IOC | IOA | |
|---|---|---|
| Cherche | Une trace précise | Un comportement |
| Moment | Souvent après l'intrusion, en analyse rétroactive | Pendant l'attaque, en temps réel |
| Durée de vie | Courte (IP, empreintes, domaines) | Longue (techniques) |
| Qui l'attaquant doit changer | Une valeur, facilement | Sa méthode |
| Risque | Rater une attaque inconnue | Faux positifs à régler |
| Outils typiques | Blocage, recherche dans les journaux, listes de menaces | EDR, SIEM, règles de détection comportementale |
Les deux se complètent. CrowdStrike précise que les IOA ne remplacent pas les IOC, ils corrigent leurs limites. En pratique : les IOC pour réagir vite (bloquer, retrouver les postes touchés, alimenter l'enquête), les IOA pour tenir dans la durée (détecter ce qu'aucune liste ne connaît encore).
À quoi ça sert et pour qui
- Analyste SOC : trier les alertes, chasser les menaces (threat hunting) et qualifier un incident. Voir notre article sur CERT, CSIRT, SOC et SecOps.
- CERT et CSIRT : diffuser et recevoir des IOC pour prévenir d'autres organisations.
- Analyste forensique (DFIR) : reconstituer la chronologie d'une intrusion à partir des traces.
- Analyste CTI : relier des indicateurs à un groupe, comme les groupes APT.
- Ingénieur détection : transformer un comportement en règle de détection.
- RSSI et PME : comprendre ce que leurs outils font. Un antivirus repose surtout sur des signatures proches des IOC, un EDR ajoute l'analyse de comportement : voir EDR, antivirus et XDR.
Le langage à connaître
- Kill chain / tactiques ATT&CK : les grandes étapes d'une attaque (accès initial, exécution, persistance, déplacement latéral...). ATT&CK distingue les tactiques (l'objectif), les techniques (le moyen) et les procédures (l'implémentation concrète).
- Beaconing : les appels réguliers d'un malware vers son serveur C2.
- Pivoter : partir d'un indicateur pour en découvrir d'autres (même hébergeur, même certificat).
- Enrichir : compléter un indicateur (propriétaire, date d'enregistrement, réputation). L'outil OSINT sur domaine de ForenShield sert à cela.
- Faux positif / faux négatif : une alerte à tort, ou une attaque non détectée.
- Sinkhole : un serveur qui reçoit le trafic d'un domaine malveillant repris par des défenseurs.
- Defanging : neutraliser une adresse (
hxxp,[.]) avant de la partager.
Trois langages de règles
- YARA, créé par Victor Alvarez chez VirusTotal, décrit des familles de logiciels malveillants à partir de motifs textuels ou binaires.
- Sigma, format ouvert en YAML apparu en 2017, décrit une détection indépendamment du SIEM : la même règle se convertit pour Splunk, Sentinel, Elastic et d'autres.
- Snort et Suricata, règles de détection réseau.
Voici une règle Sigma qui traduit l'IOA de suppression des sauvegardes :
title: Suppression des clichés instantanés avec vssadmin
status: experimental
logsource:
category: process_creation
product: windows
detection:
selection:
Image|endswith: '\vssadmin.exe'
CommandLine|contains|all:
- 'delete'
- 'shadows'
condition: selection
level: high
tags:
- attack.impact
- attack.t1490
Testez toute règle sur votre environnement avant de l'activer : des administrateurs légitimes utilisent parfois cette commande.
MISP : partager les IOC et bâtir une base de connaissance
D'après le projet MISP, c'est un logiciel libre destiné à collecter, stocker, distribuer et partager des indicateurs de cybersécurité issus de l'analyse d'incidents et de malwares. Il est développé avec le CIRCL, le CERT luxembourgeois, utilisé par des CERT, des entreprises privées, des chercheurs et des secteurs comme la finance.
Ce qu'il apporte
- Un modèle de données structuré : des événements, des attributs (les indicateurs) et des objets. Un indicateur peut être marqué comme utilisable pour la détection (drapeau
to_ids). - La corrélation : MISP relie automatiquement des attributs identiques entre événements, ce qui fait apparaître des campagnes communes.
- Le partage maîtrisé : quatre niveaux de diffusion (organisation seule, communauté, communautés connectées, toutes les communautés), des groupes de partage et la taxonomie TLP. La version 2.0 du Traffic Light Protocol publiée par FIRST en 2022 définit les étiquettes TLP:RED, TLP:AMBER (et AMBER+STRICT), TLP:GREEN et TLP:CLEAR.
- Les galaxies : des grappes de connaissances standardisées, dont MITRE ATT&CK, des profils de rançongiciels et des groupes d'attaquants.
- Les échanges : exports vers STIX et OpenIOC, génération de règles pour détection réseau, intégration avec IDS et SIEM, API REST et bibliothèque Python PyMISP, listes d'avertissement pour éviter de diffuser des indicateurs bénins.
STIX et TAXII sont deux standards OASIS : STIX est le format JSON du renseignement, TAXII le protocole d'échange par HTTPS.
Bien utiliser MISP
- Respectez le TLP : n'exportez pas hors de sa communauté une information restreinte.
- Ajoutez du contexte : date, source, niveau de confiance, durée de validité et technique ATT&CK associée. Un indicateur sans contexte perd vite sa valeur.
- Ne bloquez pas à l'aveugle : une adresse IP peut être partagée par des services légitimes. Passez par les listes d'avertissement et vérifiez avant de pousser un indicateur en blocage automatique.
- Faites vivre la base : retirez ou faites expirer les indicateurs périmés, et enrichissez les événements avec les comportements observés.
Ce qu'il faut retenir
- IOC : la trace. Simple et rapide, mais périssable.
- IOA : le comportement. Plus durable et proactif, mais demande des règles bien réglées.
- Les deux se combinent, et ATT&CK relie les comportements aux techniques connues.
- MISP permet de partager, corréler et conserver ce savoir dans un cadre de confiance.
Pour cartographier une attaque étape par étape et repérer où poser des détections, l'outil Schéma de compromission de ForenShield est utile, et l'analyseur d'URL suspecte permet d'examiner un lien avant de l'ouvrir.