Indicateurs de compromission (IOC) : types, exemples, détection et réponse

Lorsqu'un pirate s'introduit dans votre environnement, il laisse des traces. Un fichier enregistré à un emplacement inhabituel. Une connexion sortante vers une adresse IP qu'aucun processus légitime ne devrait contacter. Une connexion provenant d'un pays où vous n'avez aucun employé. Ce sont là des indicateurs de compromission (IOC) : des preuves numériques attestant qu'un système ou un réseau a été compromis, ou qu'une intrusion est en cours.

Pour les équipes de sécurité et les prestataires de services gérés (MSP), les indicateurs de compromission (IOC) constituent l'un des principaux outils permettant de détecter les menaces qui ont déjà franchi le périmètre de sécurité. Des outils tels que Datto EDR, Kaseya SIEM et Kaseya MDR sont précisément conçus dans ce but : détecter les IOC dans l'ensemble de votre environnement et les transformer en réponses coordonnées avant que les dégâts ne s'étendent.

Qu'est-ce qu'un indicateur de compromission ?

Les indicateurs de compromission (IOC) sont des éléments de preuve issus de la criminalistique numérique qui suggèrent qu'un système, un terminal ou un réseau a fait l'objet d'un accès non autorisé, a été infecté par un logiciel malveillant ou a subi une attaque. Le terme « compromission » est utilisé à dessein : au moment où la plupart des IOC sont identifiés, une intrusion a déjà eu lieu ou est en cours.

Les IOC peuvent être des éléments recueillis à partir des journaux, du trafic réseau, des systèmes de fichiers ou de la télémétrie des terminaux. Ils comprennent notamment des hachages de fichiers spécifiques associés à des logiciels malveillants connus, des adresses IP ou des domaines utilisés à des fins de commande et de contrôle, des modifications de clés de registre, des comportements inhabituels de processus et des schémas d'authentification laissant supposer un vol d'identifiants.

Les équipes de sécurité utilisent les IOC de deux manières. De manière réactive, lorsqu’un événement suspect est signalé, les analystes recherchent des IOC pour comprendre ce qui s’est passé, retracer le parcours de l’attaquant et déterminer l’ampleur de l’incident. De manière proactive, les équipes intègrent les IOC connus dans les outils de détection afin que, si les mêmes artefacts réapparaissent, une alerte se déclenche automatiquement. C’est cette seconde utilisation qui confère toute leur valeur aux flux de renseignements sur les menaces et au partage des IOC.

Il convient de préciser clairement une limite : la détection des IOC est, par nature, rétrospective. Si vos outils ont détecté un IOC, c'est qu'un incident s'est déjà produit. L'objectif d'une bonne surveillance des IOC est de réduire le délai entre le moment où une intrusion se produit et celui où elle est détectée, car c'est pendant ce délai que les attaquants agissent.

Indicateurs de compromission (IOC) et indicateurs d'attaque (IOA) : quelle est la différence ?

Un indicateur de compromission (IOC) est un élément prouvant qu'un incident a déjà eu lieu. Il s'agit d'un élément concret : un hachage de fichier, une clé de registre, un nom de domaine, une adresse IP. Les IOC sont spécifiques et statiques.

Un indicateur d’attaque se concentre sur le comportement plutôt que sur les artefacts. Les IOA décrivent les techniques et les actions utilisées par un attaquant, quels que soient les outils spécifiques qu’il déploie. Un processus générant un processus fils qui tente d’établir une connexion réseau constitue un modèle d’IOA. Ce processus peut être déclenché par un logiciel malveillant connu ou par une menace inédite qui n’a jamais été répertoriée. Les IOA ont une portée plus large et résistent mieux aux tentatives de contournement, car la modification du hachage d’un fichier ne change pas le comportement sous-jacent.

Dans la pratique, les services de sécurité bien rodés utilisent les deux. Les IOC permettent de détecter rapidement les menaces connues. Les IOA permettent quant à eux de repérer les nouvelles attaques et les adversaires sophistiqués qui conçoivent spécialement des outils pour éviter d'être repérés par les bases de données d'IOC existantes.

Types d'indicateurs de compromission

Les IOC sont classés en quatre catégories en fonction de leur origine et de ce qu'ils décrivent.

Indicateurs de compromission (IOC) liés au réseau

Les indicateurs de compromission (IOC) réseau sont des éléments associés à une activité réseau suspecte ou malveillante. Ils comprennent notamment les adresses IP liées à l'infrastructure des acteurs malveillants, les domaines utilisés pour les communications de commande et de contrôle (C2), les schémas inhabituels de trafic sortant et les requêtes DNS concernant des domaines qui ne correspondent pas à des services légitimes.

Les indicateurs de compromission (IOC) réseau traduisant souvent une communication active avec une infrastructure contrôlée par le pirate, il est essentiel de les détecter rapidement. Un terminal compromis mais n’ayant pas encore exfiltré de données peut encore être maîtrisé si la connexion C2 sortante est interceptée en premier lieu.

Indicateurs de compromission (IOC) liés à l'hôte

Les indicateurs de compromission (IOC) basés sur l'hôte sont présents sur les terminaux et les périphériques individuels. Ils comprennent notamment les modifications inattendues apportées aux clés de registre ou aux fichiers système, les nouveaux processus s'exécutant sous des processus parents inhabituels, les modifications apportées aux tâches planifiées ou aux entrées de démarrage, les fichiers apparaissant à des emplacements où aucun logiciel légitime n'écrit de données, ainsi que les modifications non autorisées des autorisations des comptes.

Les outils EDR constituent le principal mécanisme de détection des indicateurs de compromission (IOC) au niveau de l'hôte, car ils offrent une visibilité au niveau de l'agent sur tout ce qui se passe sur le périphérique : chaque lancement de processus, chaque écriture de fichier, chaque modification du registre. Cette télémétrie permet de détecter les logiciels malveillants sans fichier et les attaques de type « living-off-the-land », qui ne laissent aucun fichier sur le disque mais laissent néanmoins des traces comportementales.

IOC basés sur des fichiers

Les indicateurs de compromission (IOC) basés sur des fichiers sont des éléments spécifiques liés à des fichiers malveillants connus. La forme la plus courante est un hachage cryptographique (MD5, SHA-1 ou SHA-256) qui identifie de manière unique un fichier. Si un hachage correspond à celui associé à un logiciel malveillant connu, cela constitue un indice fort que le fichier est malveillant, quel que soit le nom sous lequel il a été renommé.

Parmi les autres indicateurs de compromission (IOC) liés aux fichiers, on trouve les noms de fichiers et les chemins d’accès utilisés par des familles de logiciels malveillants connues, ainsi que les détails des certificats numériques associés aux logiciels malveillants signés. Les IOC liés aux fichiers sont rapides à vérifier et faciles à partager, ce qui explique pourquoi ils constituent l’essentiel des données des flux de renseignements sur les menaces. Leur limite réside dans le fait qu’ils peuvent être facilement contournés en recompilant le code, ce qui modifie la valeur de hachage.

Indicateurs de compromission comportementaux

Les indicateurs de compromission comportementaux (IOC) décrivent des schémas d'activité s'écartant des valeurs de référence établies, quels que soient les fichiers ou artefacts concernés. Plusieurs tentatives de connexion infructueuses sur différents comptes en peu de temps, un compte utilisateur accédant à des partages de fichiers qu'il n'a jamais consultés auparavant, ou la lecture de volumes importants de données dans une base de données par un seul utilisateur constituent autant d'indicateurs de compromission comportementaux.

Pour être pertinents, les indicateurs de compromission (IOC) comportementaux doivent s'appuyer sur une base de référence bien établie. Les plateformes SIEM et les outils d'analyse du comportement des utilisateurs et des entités (UEBA) établissent ces bases de référence au fil du temps et signalent automatiquement les écarts, ce qui les rend particulièrement efficaces pour détecter les menaces qui cherchent délibérément à ne pas correspondre aux signatures IOC connues.

Exemples courants d'indicateurs de compromission

Savoir à quoi ressemblent concrètement les IOC permet aux équipes de sécurité de savoir ce qu’elles doivent rechercher. Parmi les exemples les plus courants, on peut citer :

• Activité d'authentification inhabituelle : plusieurs tentatives de connexion infructueuses sur plusieurs comptes à partir d'une même adresse IP, une connexion réussie depuis une zone géographique inattendue ou à partir d'un appareil n'ayant jamais accédé au compte auparavant, ainsi que des connexions à des heures inhabituelles, sont autant de signes pouvant indiquer un vol d'identifiants ou un accès non autorisé.
• Trafic sortant anormal : un appareil qui transfère soudainement d'importants volumes de données vers des destinations externes avec lesquelles il n'a jamais communiqué, ou vers des plages d'adresses IP connues pour être malveillantes, peut indiquer une exfiltration potentielle. Un trafic envoyé à intervalles réguliers et programmés signale souvent l'envoi de balises vers une infrastructure C2.
• Processus ou logiciels inattendus : les processus s’exécutant à partir de répertoires temporaires, les exécutables non signés situés dans des emplacements inhabituels pour ce type de logiciel, ainsi que les outils d’accès à distance qui n’ont rien à faire sur les machines de production méritent tous d’être examinés de près. Les tâches planifiées ou les entrées de démarrage apparues sans demande de modification correspondante peuvent indiquer une persistance de l’attaquant.
• Modifications suspectes du registre : les attaquants modifient des clés du registre pour assurer la persistance de leur présence, désactiver des outils de sécurité ou modifier le comportement du système. Les modifications apportées aux clés d'exécution automatique ou aux configurations de services sans ticket de modification justifiant ces changements constituent des indicateurs de compromission (IOC) fiables au niveau de l'hôte.
• Anomalies DNS : un volume élevé de requêtes DNS adressées à un seul domaine, des requêtes concernant des domaines nouvellement enregistrés ou générés par des algorithmes (une technique appelée « algorithmes de génération de domaines », ou DGA) et des requêtes portant sur des domaines connus pour être malveillants sont autant d'indices laissant supposer une compromission potentielle du réseau.
• Modifications de configuration non autorisées : la modification des règles du pare-feu visant à ouvrir des ports entrants, la création de nouveaux comptes administratifs sans autorisation, ainsi que la désactivation ou la désinstallation de logiciels de sécurité constituent autant d'indicateurs de compromission (IOC) qui justifient une enquête immédiate.

Comment les IOC sont utilisés dans la gestion des incidents

La détection d'un IOC n'a de véritable intérêt que lorsqu'elle s'inscrit dans un processus d'intervention. Détecter un IOC sans y donner suite rapidement n'est guère mieux que de ne pas le détecter du tout.

Dans la pratique, la réponse aux incidents basée sur les IOC suit un schéma cohérent. Une alerte se déclenche lorsqu’un IOC connu est détecté ou qu’un comportement anormal dépasse un seuil défini. Un analyste vérifie s’il s’agit d’une véritable menace. Si c’est le cas, on évalue l’étendue de l’incident : quels systèmes sont touchés, quelles données ont pu être consultées et comment l’attaquant s’est introduit. Vient ensuite le confinement, qui consiste à isoler les terminaux ou à bloquer les connexions suspectes. La remédiation permet de supprimer les artefacts malveillants et de fermer le vecteur d’accès. Enfin, les IOC recueillis au cours de l’enquête sont ajoutés aux règles de détection, afin que le même schéma soit détecté plus rapidement la prochaine fois.

La rapidité est essentielle à chaque étape. Le rapport 2026 de l’Unit 42 sur la réponse aux incidents à l’échelle mondiale a révélé que les attaques les plus rapides parviennent désormais à exfiltrer des données dans les 72 minutes suivant l’accès initial. Les organisations disposant de systèmes automatisés de détection et de confinement des indicateurs de compromission (IOC) résolvent systématiquement les incidents plus rapidement que celles qui s’appuient sur une analyse manuelle.

Outils de corrélation des menaces et de détection des indicateurs de compromission (IOC)

Plusieurs catégories de technologies de sécurité sont spécialement conçues pour la détection et la réponse aux indicateurs de compromission (IOC).

Gestion des informations et des événements de sécurité (SIEM)

Le SIEM est l’outil principal permettant de corréler les indicateurs de compromission (IOC) au sein d’un environnement. Un SIEM collecte les données de journaux et d’événements provenant de l’ensemble de l’infrastructure informatique, applique des règles de corrélation pour identifier des schémas correspondant à des IOC connus ou à des comportements suspects, et génère des alertes classées par ordre de priorité. Comme un SIEM traite simultanément des données provenant de plusieurs sources, il relie entre eux des événements qui, pris isolément, sembleraient anodins : une tentative de connexion infructueuse, suivie d’une connexion réussie depuis une autre adresse IP, puis l’accès de cet utilisateur à un partage de fichiers qu’il n’a jamais consulté auparavant, devient un incident corrélé plutôt que trois alertes distinctes de faible priorité.

Détection et réponse au niveau des terminaux (EDR)

Les outils EDR surveillent en temps réel chaque terminal à la recherche d'indicateurs de compromission (IOC) liés à l'hôte et comportementaux. Ils enregistrent des données de télémétrie détaillées, comparent les comportements à des bibliothèques de menaces et à des bases de données d'IOC, et prennent en charge des interventions automatisées ou guidées par des analystes, notamment l'isolement, l'arrêt des processus et la mise en quarantaine des fichiers.

Détection et réponse gérées (MDR)

Les services MDR ajoutent une couche d'analyse aux technologies SIEM et EDR. Plutôt que de confier le triage et l'analyse des indicateurs de compromission (IOC) au personnel interne, les prestataires MDR assurent une surveillance continue et interviennent face aux menaces confirmées pour le compte du client. Pour les organisations ne disposant pas d'une couverture opérationnelle de sécurité 24 h/24 et 7 j/7, le MDR est ce qui permet de transformer la détection des IOC en une réponse opérationnelle.

Détection et réponse dans le cloud (CDR)

À mesure que l'activité des entreprises se déplace vers des plateformes telles que Microsoft 365 et Google Workspace, les indicateurs de compromission (IOC) liés au cloud occupent désormais une place importante dans le paysage des menaces. Les outils CDR étendent la détection des IOC aux environnements SaaS, en signalant des indices tels que des autorisations inhabituelles accordées aux applications OAuth, des connexions provenant d'emplacements improbables, des téléchargements massifs de fichiers et des modifications non autorisées apportées aux configurations des locataires cloud.

Plateformes de renseignements sur les menaces

Les plateformes de renseignements sur les menaces agrègent des données relatives aux indicateurs de compromission (IOC) provenant de flux mondiaux, d’avis gouvernementaux, de recherches menées par les éditeurs et de partages au sein de la communauté. Elles enrichissent les alertes en fournissant des informations contextuelles sur ce à quoi une adresse IP, un domaine ou un hachage de fichier donné a été associé, sur les groupes malveillants qui l’utilisent et sur la date à laquelle il a été observé pour la dernière fois dans des campagnes actives, aidant ainsi les analystes à hiérarchiser les éléments à examiner en priorité.

Comment Kaseya aide les équipes à détecter les indicateurs de compromission (IOC) et à y réagir

La plateforme de sécurité de Kaseya repose sur la détection des indicateurs de compromission (IOC) sur l'ensemble de la surface d'attaque et sur l'association de cette détection à une réponse rapide et coordonnée, spécialement conçue pour les prestataires de services gérés (MSP) et les équipes informatiques réduites ne disposant pas d'une importante infrastructure de sécurité en interne.

La solution SIEM de Kaseya collecte des données télémétriques provenant de plus de 60 sources, établit des corrélations entre les indicateurs de compromission (IOC) et les comportements suspects au niveau des terminaux, des identités, du réseau et du cloud, et conserve les journaux pendant 400 jours afin de faciliter les enquêtes de sécurité. Des règles de réponse automatisées permettent d’agir immédiatement dès la confirmation d’un IOC : blocage de comptes, mise en quarantaine de périphériques et signalement des sessions arrivant à expiration, le tout sans intervention manuelle.

Datto EDR surveille en temps réel les terminaux à la recherche d'indicateurs de compromission (IOC) liés à l'hôte et au comportement, recoupe les détections avec le référentiel MITRE ATT&CK afin de fournir immédiatement un contexte aux analystes, et propose plus de 65 actions de réponse automatisées, notamment la restauration après une attaque par ransomware.

Kaseya MDR met à votre disposition des analystes en sécurité basés aux États-Unis qui surveillent votre environnement 24 heures sur 24, enquêtent sur les alertes déclenchées par des indicateurs de compromission (IOC) et prennent des mesures de confinement lorsque des menaces sont confirmées. Pour les organisations qui ont besoin d'une couverture de réponse aux IOC 24 heures sur 24, 7 jours sur 7, sans avoir à mettre en place un centre d'opérations de sécurité (SOC), le MDR est la solution la plus pratique.

SaaS Alerts étend la détection des indicateurs de compromission (IOC) à Microsoft 365, Google Workspace et d'autres applications cloud. Les équipes peuvent définir des règles IOC personnalisées à l’aide de déclencheurs d’événements et de filtres, grâce à des modèles IOC communautaires couvrant les schémas de menaces courants et disponibles dès l’installation. SaaS Alerts se connecte directement à Kaseya SIEM pour une corrélation inter-surfaces, offrant ainsi aux analystes une vue unifiée de l’activité IOC des terminaux et du cloud en un seul et même endroit. Ensemble, ces outils offrent aux MSP et aux équipes informatiques la visibilité et la capacité de réaction nécessaires pour agir sur les IOC à tous les niveaux de l’environnement, sans avoir besoin d’un centre d’opérations de sécurité dédié pour les faire fonctionner.