Was sind Indicators of Compromise (IoC)?
IoCs sind technische Artefakte oder beobachtbare Merkmale, die auf einen bevorstehenden oder laufenden Angriff oder auf eine möglicherweise bereits erfolgte Kompromittierung hindeuten. Sie sind Hinweise, keine sicheren Beweise.
Die Definition erfasst mögliche Angriffszustände: Ein Angriff kann bevorstehen, bereits laufen oder eine Kompromittierung könnte schon erfolgt sein. Ob tatsächlich ein Sicherheitsvorfall vorliegt, muss anhand des jeweiligen Kontexts und weiterer Analysen geklärt werden.
Wofür werden IoCs eingesetzt?
Organisationen und Sicherheitsteams nutzen IoCs bei Detektion, Analyse, Bewertung, Überwachung und Reaktion sowie als Cyber-Threat-Information. Der Begriff ist weder auf einen Sektor noch auf bestimmte Organisationen beschränkt. Der praktische Nutzen hängt davon ab, ob der Hinweis für die jeweilige Umgebung und Bedrohung relevant ist. Aus dem Begriff selbst folgt keine allgemeine Pflicht, IoCs zu verwenden oder auszutauschen.
Wann wird ein Artefakt als IoC relevant?
Ein technisches Artefakt oder beobachtbares Merkmal wird als IoC relevant, wenn es einen bevorstehenden oder laufenden Angriff oder eine möglicherweise bereits erfolgte Kompromittierung nahelegt. Der Fund ist indikativ: Er muss im Kontext bewertet werden und bestätigt für sich allein keinen Sicherheitsvorfall.
Welche Grenzen gelten beim Erzeugen und Teilen von IoCs?
Nach der technischen Leitlinie NIST SP 800-150 sollen Organisationen beim Erzeugen, Aggregieren und Anreichern von Indikatoren deren Sensitivität und Klassifizierung erneut bewerten. Verarbeitung kann die Sensitivität erhöhen oder eine Re-Identifizierung ermöglichen. Auch Herkunft und vereinbarte Verteilungsregeln gehören deshalb in die Bewertung.
Eine Kennzeichnung als „currently under investigation“ kann die Weitergabe über die jeweilige Austauschgemeinschaft hinaus und aktive Abfragen beschränken. Wird die Kennzeichnung später herabgestuft oder überarbeitet, können sich diese Beschränkungen ändern oder entfallen. Zusätzlich anwendbare Vorgaben aus Verträgen, Austauschgemeinschaften oder besonderen Regelwerken sind getrennt zu prüfen.
Haben IoCs feste Fristen oder Schwellenwerte?
Nein. Der allgemeine technische Begriff enthält weder eine feste Frist noch einen einheitlichen Startpunkt oder universellen Schwellenwert. Produzenten sollen jedoch Verfahren zur Veröffentlichung von Indikatoren sowie zur Aktualisierung und Rücknahme fehlerhafter oder versehentlich geteilter Indikatoren vorsehen. Besondere Regelwerke, Verträge oder Austauschgemeinschaften können davon unabhängig eigene Vorgaben festlegen.
Wie unterscheiden sich IoCs und TTP-basierte Erkennung?
IoC-basierte Erkennung arbeitet häufig mit leicht veränderlichen Attributen wie IP-Adressen, Domains oder Datei-Hashes. Gegen anpassungsfähige Angreifer können solche Hinweise schnell an Wert verlieren. TTP-basierte Erkennung richtet den Blick dagegen auf gegnerisches Verhalten, also Taktiken, Techniken und Vorgehensweisen. Beide Ansätze sind komplementär und nicht austauschbar.
Welcher Kontext gehört zu einem veröffentlichten IoC?
NIST empfiehlt, veröffentlichte Indikatoren mit Metadaten zu versehen. Dazu gehören Informationen zur Verwendung und Interpretation, Beziehungen zu anderen Indikatoren, Sensitivität und Herkunft. Für zeitkritischen maschinellen Austausch, etwa zur automatisierten Firewall-Konfiguration, können Standarddatenformate den manuellen Aufwand verringern. Für unstrukturierte, von Fachpersonal gelesene Berichte oder einen Ad-hoc-Austausch können dagegen unstrukturierte Formate geeignet sein.
Häufige Fehlannahmen
- „Ein IoC beweist eine Kompromittierung.“ Nein. Ein IoC ist ein Hinweis; erst Kontext und weitere Analyse können einen Vorfall bestätigen.
- „Jeder gefundene IoC ist für jede Umgebung relevant.“ Nein. Sein Nutzen hängt von der konkreten Bedrohung, Umgebung und Aktualität ab.
- „IoCs bleiben dauerhaft aussagekräftig.“ Nein. Leicht veränderliche Attribute können gegen anpassungsfähige Angreifer schnell veralten.
- „IoC- und TTP-basierte Erkennung sind dasselbe.“ Nein. IoCs bezeichnen beobachtbare Hinweise, während TTP-basierte Erkennung gegnerisches Verhalten betrachtet; beide Ansätze ergänzen sich.
- „Indikatoren dürfen ohne Kontext oder Verteilungsprüfung geteilt werden.“ Nein. Sensitivität, Klassifizierung, Herkunft, Kontext und vereinbarte Verteilungsregeln sind zu berücksichtigen.
Was die Geschäftsleitung tun sollte
Soweit die Organisation IoCs produziert oder teilt, sind die folgenden Schritte technische Empfehlungen und keine allein aus dem Begriff IoC folgende Rechtspflicht:
- Verbindliche Metadaten für Interpretation, Beziehungen, Sensitivität und Herkunft definieren.
- Bei Erzeugung, Aggregation und Anreicherung eine erneute Sensitivitäts- und Klassifizierungsprüfung vorsehen und vereinbarte Verteilungsregeln durchsetzen.
- Für zeitkritische maschinelle Abläufe geeignete Standarddatenformate auswählen und unstrukturierte Formate nur dort einsetzen, wo sie zum Nutzungskontext passen.
- Einen Feedback-Kanal sowie Verfahren zur Aktualisierung und Rücknahme fehlerhafter oder versehentlich geteilter Indikatoren einrichten.
Für die bloße Nutzung beziehungsweise Detektion gilt davon getrennt die technische Empfehlung, IoC-basierte Detektion mit kontextbezogener Analyse und komplementären TTP-basierten Fähigkeiten zu verbinden.
Für die Geschäftsleitung
IoCs sind breit einsetzbare technische Hinweise, aber keine Beweise und keine eigenständige Nutzungspflicht. Soweit die Organisation IoCs produziert oder teilt, ist ein gesteuerter, kontextbezogener Prozess entscheidend: Relevanz bewerten, Sensitivität und Verteilung kontrollieren, passende Formate wählen sowie fehlerhafte oder veraltete Indikatoren aktualisieren oder zurückziehen. Als redaktionell abgeleiteter Nachweisvorschlag eignen sich Metadatenvorgaben, dokumentierte Sensitivitäts- und Klassifizierungsprüfungen, angewandte Verteilungsregeln, festgelegte Feedbackwege sowie dokumentierte Aktualisierungen und Rücknahmen.
Quellen
- NIST CSRC Glossary: Indicator of Compromise
- NIST SP 800-150: Guide to Cyber Threat Information Sharing, insbesondere Abschnitte 4.5.1 und 4.5.2.
- MITRE: TTP-Based Hunting, Executive Summary.
