IoC
Kompromittierungsindikator
Indicator of Compromise
Ein IoC ist ein konkretes, beobachtbares Artefakt, das auf eine Kompromittierung hindeutet — etwa eine schädliche IP-Adresse, eine Domain, ein Datei-Hash oder ein verdächtiger Registry-Eintrag. IoCs sind die handfeste Währung der Threat Intelligence: Sie lassen sich teilen und automatisiert gegen die eigene Umgebung abgleichen. Sie beschreiben jedoch die Spur, nicht das Verhalten.
Historie & Fakten. IoCs entstanden aus dem Bedürfnis, Erkenntnisse über Angriffe maschinenlesbar austauschbar zu machen. Plattformen wie MISP strukturieren und teilen sie, das TLP-Modell regelt, wie weit sie weitergegeben werden dürfen. Ein wichtiger Gegenbegriff ist der Indicator of Attack (IoA), der auf Verhalten statt auf konkrete Artefakte zielt — denn IoCs veralten schnell, sobald ein Angreifer Infrastruktur oder Dateien wechselt.
Ausblick & Empfehlung. IoCs sind nützlich, aber kein Allheilmittel: Sie erkennen vor allem Bekanntes. Wer sich allein auf Indikatorlisten verlässt, ist gegen neue oder gezielte Angriffe blind. Sinnvoll ist die Kombination aus IoC-Abgleich (schnell, automatisierbar) und verhaltensbasierter Erkennung (robuster gegen Veränderung). Entscheidend ist zudem die Qualität: Ein IoC ohne Kontext und ohne Korrelation zur eigenen Telemetrie erzeugt mehr Rauschen als Wert.