IOCとは

詳細な図解

IOCを読むときの前提

IOC（Indicator of Compromise）は、侵害の痕跡を示すIPアドレス、ドメイン、URL、ファイルハッシュ、ファイル名、レジストリ、プロセス名などの情報です。

脅威ハンティング、SIEM検索、EDR調査、ブロック設定で使います。実務では、鮮度、誤検知、検索範囲、検知ルール化、共有可否、期限を確認します。

証跡には、IOC値、種別、入手元、観測時刻、信頼度、検索対象、ヒット結果、対応内容、ルール化有無、失効日、共有範囲を残します。

IOCの鮮度と信頼度を見る

IOCは時間が経つと価値が下がることがあります。攻撃者はIPやドメイン、ファイルハッシュを変えるため、古いIOCだけに頼ると見逃しが増えます。

入手元、観測時刻、文脈、信頼度を確認し、自組織のログに合うかを検証します。誤検知が多い値は、条件を絞ります。

• 入手元と観測時刻を記録する。
• 自組織ログで検証する。
• 誤検知条件を確認する。

検索範囲とヒット結果を残す

IOC検索では、どのログ、どの期間、どの環境を検索したかが重要です。検索範囲が狭いと、ヒットなしでも安全とは言えません。

ヒットした場合は、端末、利用者、通信先、時刻、関連イベントを追います。ヒットなしの場合も検索条件を残します。

• 検索対象ログを記録する。
• 検索期間を明記する。
• ヒット有無と対応を保存する。

検知ルールとブロックを期限付きにする

IOCはSIEMやEDRの検知ルール、FWやDNSのブロックに使えます。ただし、古いIOCを永久に残すと誤検知や運用負荷が増えます。

ルール化する場合は、期限、所有者、解除条件、監視対象を決めます。外部共有する場合は、機密情報や調査中情報が含まれないか確認します。

• ルール所有者を決める。
• 失効日を設定する。
• 共有可否を確認する。

変更証跡と引き継ぎ

IOC運用では、検索、検知、ブロック、共有の判断を残します。攻撃キャンペーンやインシデント番号と紐付けると、後から追跡しやすくなります。

引き継ぎでは、SOC、CSIRT、ネットワーク運用、関連語としてSIEM、EDR、フォレンジック、インシデントを残すと確認しやすくなります。

• IOC台帳を更新する。
• 検知ルールの期限を残す。
• ヒット時の対応手順を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能