Indicatoren van compromittering (IOC's): soorten, voorbeelden, detectie en reactie

Wanneer een aanvaller zich door uw omgeving beweegt, laat hij sporen achter. Een bestand dat op een ongebruikelijke locatie is opgeslagen. Een uitgaande verbinding met een IP-adres waarmee geen enkel legitiem proces contact zou mogen hebben. Een inlogpoging vanuit een land waar u geen medewerkers heeft. Dit zijn indicatoren van inbreuk (IOC’s): digitaal bewijs dat er een inbreuk op een systeem of netwerk heeft plaatsgevonden, of dat er op dat moment actief een inbreuk plaatsvindt.

Voor beveiligingsteams en MSP’s zijn IOC’s een van de belangrijkste hulpmiddelen om bedreigingen op te sporen die de perimeter al hebben doorbroken. Tools zoals Datto EDR, Kaseya SIEM en Kaseya MDR zijn precies hierop afgestemd: het opsporen van IOC’s in uw hele omgeving en het omzetten daarvan in gecoördineerde reacties voordat de schade zich verder verspreidt.

Wat zijn indicatoren van een inbreuk?

Indicatoren van compromittering zijn stukjes digitaal forensisch bewijsmateriaal die erop wijzen dat er zonder toestemming toegang is verkregen tot een systeem, endpoints of netwerk, of dat deze zijn geïnfecteerd met malware of het doelwit zijn geweest van een aanval. De term ‘compromittering’ is bewust gekozen: tegen de tijd dat de meeste IOC’s worden geïdentificeerd, heeft er al een inbraak plaatsgevonden of is deze nog gaande.

IOC’s kunnen aanwijzingen zijn die worden verzameld uit logbestanden, netwerkverkeer, bestandssystemen of telemetrie van endpointsen. Het gaat hierbij om specifieke bestands-hashes die in verband worden gebracht met bekende malware, IP-adressen of domeinen die worden gebruikt voor command-and-control, wijzigingen in registersleutels, afwijkend procesgedrag en authenticatiepatronen die wijzen op diefstal van inloggegevens.

Beveiligingsteams maken op twee manieren gebruik van IOC’s. Reactief: nadat een verdachte gebeurtenis is gesignaleerd, gaan analisten op zoek naar IOC’s om te achterhalen wat er is gebeurd, het spoor van de aanvaller te volgen en de omvang van het incident vast te stellen. Proactief: teams voeren bekende IOC’s in detectietools in, zodat er automatisch een waarschuwing wordt geactiveerd als dezelfde artefacten opnieuw opduiken. Juist deze tweede toepassing maakt feeds met dreigingsinformatie en het delen van IOC’s zo waardevol.

Het is belangrijk om één beperking duidelijk te maken: het opsporen van IOC’s is per definitie achteraf. Als je tools een IOC hebben gevonden, is er al iets misgegaan. Het doel van goede IOC-monitoring is om de tijd tussen het moment waarop een inbreuk plaatsvindt en het moment waarop deze wordt ontdekt te verkleinen, want juist in die periode kunnen aanvallers hun gang gaan.

Indicatoren van compromittering versus indicatoren van een aanval (IOA’s): wat is het verschil?

Een indicator van compromittering (IOC) is een aanwijzing dat er al iets ernstigs is gebeurd. Het is gebaseerd op concrete sporen: een bestandshash, een registersleutel, een domeinnaam, een IP-adres. IOC’s zijn specifiek en statisch.

Een aanvalindicator richt zich op gedrag in plaats van op artefacten. IOA’s beschrijven de technieken en acties die een aanvaller gebruikt, ongeacht de specifieke tools die hij inzet. Een proces dat een subproces genereert dat een netwerkverbinding probeert tot stand te brengen, is een IOA-patroon. Dit kan worden veroorzaakt door bekende malware of door een gloednieuwe bedreiging die nog nooit is gecatalogiseerd. IOA’s zijn breder van opzet en beter bestand tegen ontwijking, omdat het wijzigen van een bestandshash het onderliggende gedrag niet verandert.

In de praktijk maken volwassen beveiligingsorganisaties gebruik van beide. IOC’s sporen bekende bedreigingen snel op. IOA’s detecteren nieuwe aanvallen en geavanceerde aanvallers die speciaal tools ontwikkelen om te voorkomen dat ze in bekende IOC-databases worden herkend.

Soorten indicatoren van compromittering

IOC’s worden ingedeeld in vier categorieën op basis van hun herkomst en wat ze beschrijven.

Netwerkgebaseerde IOC’s

Netwerk-IOC’s zijn aanwijzingen die verband houden met verdachte of kwaadaardige netwerkactiviteit. Hieronder vallen IP-adressen die gekoppeld zijn aan de infrastructuur van cybercriminelen, domeinen die worden gebruikt voor command-and-control-communicatie (C2), ongebruikelijke patronen in uitgaand verkeer en DNS-query’s voor domeinen die niet overeenkomen met legitieme diensten.

Aangezien netwerk-IOC’s vaak wijzen op actieve communicatie met door aanvallers gecontroleerde infrastructuur, is het van groot belang dat ze snel worden opgespoord. Een endpoints dat is gehackt maar waaruit nog geen gegevens zijn gestolen, kan nog steeds worden ingeperkt als de uitgaande C2-verbinding eerst wordt onderschept.

Op de host gebaseerde IOC’s

Hostgebaseerde IOC’s zijn te vinden op individuele endpointsen en apparaten. Het gaat hierbij om onverwachte wijzigingen in registersleutels of systeembestanden, nieuwe processen die onder ongebruikelijke bovenliggende processen draaien, aanpassingen aan geplande taken of opstartvermeldingen, bestanden die verschijnen op locaties waar legitieme software geen gegevens opslaat, en ongeoorloofde wijzigingen in accountrechten.

EDR-tools vormen het belangrijkste mechanisme voor het detecteren van hostgebaseerde IOC’s, omdat ze op agentniveau inzicht bieden in alles wat er op het apparaat gebeurt — elke processtart, elke bestandsschrijfbewerking, elke wijziging in het register. Dankzij deze telemetrie is het mogelijk om bestandsloze malware en ‘living-off-the-land’-aanvallen te detecteren die geen bestanden op de schijf achterlaten, maar wel sporen in het gedrag achterlaten.

Op bestanden gebaseerde IOC’s

Bestandsgebaseerde IOC’s zijn specifieke kenmerken die gekoppeld zijn aan bekende schadelijke bestanden. De meest voorkomende vorm is een cryptografische hash (MD5, SHA-1 of SHA-256) die een bestand op unieke wijze identificeert. Als een hash overeenkomt met een hash die aan bekende malware is gekoppeld, is dat een sterke aanwijzing dat het bestand schadelijk is, ongeacht de naam waaronder het nu staat.

Andere bestandsgebaseerde IOC’s zijn onder meer bestandsnamen en paden die door bekende malwarefamilies worden gebruikt, en gegevens van digitale certificaten van ondertekende malware. Bestandsgebaseerde IOC’s kunnen snel worden gecontroleerd en zijn eenvoudig te delen; daarom vormen ze het grootste deel van de gegevens in threat intelligence-feeds. Een beperking is dat ze gemakkelijk kunnen worden omzeild door de code opnieuw te compileren, waardoor de hash verandert.

Gedragsgerelateerde IOC’s

Gedragsgerelateerde IOC’s beschrijven activiteitspatronen die afwijken van vastgestelde referentiewaarden, ongeacht de specifieke bestanden of artefacten waarmee het te maken heeft. Meerdere mislukte inlogpogingen op verschillende accounts binnen een kort tijdsbestek, een gebruikersaccount dat toegang zoekt tot gedeelde bestanden die het nog nooit eerder heeft gebruikt, of grote hoeveelheden gegevens die door één enkele gebruiker uit een database worden gelezen, zijn allemaal gedragsgerelateerde IOC’s.

Gedragsgerelateerde IOC’s hebben een vastgestelde referentiewaarde nodig om betekenisvol te zijn. SIEM-platforms en UEBA-tools (User and Entity Behavior Analytics) bouwen deze referentiewaarden in de loop van de tijd op en signaleren afwijkingen automatisch, waardoor ze bijzonder effectief zijn in het opsporen van bedreigingen die bewust proberen te voorkomen dat ze overeenkomen met bekende IOC-signaturen.

Voorbeelden van veelvoorkomende indicatoren van inbreuken

Als beveiligingsteams weten hoe IOC’s er in de praktijk uitzien, weten ze beter waar ze op moeten letten. De meest voorkomende voorbeelden zijn onder meer:

• Ongebruikelijke authenticatieactiviteit: meerdere mislukte inlogpogingen op verschillende accounts vanaf hetzelfde IP-adres, een succesvolle inlogpoging vanaf een onverwachte geografische locatie of vanaf een apparaat dat nog nooit eerder toegang tot het account heeft gehad, en inlogpogingen op ongebruikelijke tijdstippen duiden allemaal op mogelijke diefstal van inloggegevens of ongeoorloofde toegang.
• Afwijkend uitgaand verkeer: Als een apparaat plotseling grote hoeveelheden gegevens verzendt naar externe bestemmingen waarmee het nog nooit heeft gecommuniceerd, of verkeer naar bekende kwaadaardige IP-reeksen, duidt dit op mogelijke gegevensdiefstal. Verkeer dat met regelmatige, vaste tussenpozen wordt verzonden, duidt vaak op het verzenden van signalen naar C2-infrastructuur.
• Onverwachte processen of software: processen die vanuit tijdelijke mappen worden uitgevoerd, niet-ondertekende uitvoerbare bestanden op locaties waar software normaal gesproken niet staat, en tools voor toegang op afstand die op productiemachines niet thuishoren, zijn allemaal het onderzoeken waard. Geplande taken of opstartitems die zijn verschenen zonder dat daarvoor een bijbehorend wijzigingsverzoek is ingediend, kunnen wijzen op persistentie van een aanvaller.
• Verdachte wijzigingen in het register: Aanvallers wijzigen registersleutels om hun aanwezigheid in het systeem te bestendigen, beveiligingstools uit te schakelen of het gedrag van het systeem te veranderen. Wijzigingen in autorun-sleutels of serviceconfiguraties zonder bijbehorend wijzigingsticket zijn sterke hostgebaseerde IOC’s.
• DNS-afwijkingen: Grote hoeveelheden DNS-verzoeken naar één enkel domein, verzoeken voor nieuw geregistreerde of algoritmisch gegenereerde domeinen (een techniek die ‘domeingeneratiealgoritmen’ of DGA wordt genoemd) en zoekopdrachten naar bekende schadelijke domeinen duiden allemaal op een mogelijke inbreuk op het netwerk.
• Ongeautoriseerde configuratiewijzigingen: firewallregels die zijn aangepast om inkomende poorten open te stellen, nieuwe beheerdersaccounts die zonder toestemming zijn aangemaakt en beveiligingssoftware die is uitgeschakeld of verwijderd, zijn allemaal IOC’s die onmiddellijk nader onderzoek vereisen.

Hoe IOC’s worden ingezet bij incidentrespons

Het opsporen van IOC’s is pas echt waardevol als het is gekoppeld aan een responsworkflow. Het opsporen van een IOC zonder daar snel actie op te ondernemen, is maar nauwelijks beter dan het helemaal niet opsporen.

In de praktijk verloopt de op IOC’s gebaseerde incidentrespons volgens een vast patroon. Er wordt een waarschuwing gegenereerd wanneer een bekende IOC wordt herkend of wanneer afwijkend gedrag een drempelwaarde overschrijdt. Een analist gaat na of dit een daadwerkelijke dreiging vormt. Indien dit wordt bevestigd, wordt de omvang van het incident in kaart gebracht: welke systemen zijn getroffen, tot welke gegevens is mogelijk toegang verkregen en hoe heeft de aanvaller zich toegang verschaft? Daarna volgt inperking, waarbij endpointsen worden geïsoleerd of verdachte verbindingen worden geblokkeerd. Bij herstel worden kwaadaardige artefacten verwijderd en wordt de toegangsvector afgesloten. Ten slotte worden de tijdens het onderzoek verzamelde IOC's toegevoegd aan detectieregels, zodat hetzelfde patroon de volgende keer sneller wordt opgemerkt.

Snelheid is bij elke stap van belang. Uit het „Unit 42 Global Incident Response Report 2026” blijkt dat bij de snelste aanvallen de gegevens al binnen 72 minuten na de eerste toegang worden gestolen. Organisaties die gebruikmaken van geautomatiseerde detectie en inperking van IOC’s lossen incidenten consequent sneller op dan organisaties die vertrouwen op handmatige controle.

Tools voor het correleren van bedreigingen en het detecteren van IOC’s

Er zijn verschillende categorieën beveiligingstechnologieën die specifiek zijn ontwikkeld voor het opsporen van en reageren op IOC’s.

Beheer van beveiligingsinformatie en -gebeurtenissen (SIEM)

SIEM is het belangrijkste hulpmiddel voor het correleren van IOC’s binnen een omgeving. Een SIEM verzamelt log- en gebeurtenisgegevens uit de gehele IT-stack, past correlateregels toe om patronen te identificeren die overeenkomen met bekende IOC’s of verdacht gedrag, en genereert geprioriteerde waarschuwingen. Omdat een SIEM gegevens uit meerdere bronnen tegelijkertijd ziet, legt het verbanden tussen gebeurtenissen die op zichzelf onopvallend zouden lijken: een mislukte aanmelding, gevolgd door een succesvolle aanmelding vanaf een ander IP-adres, gevolgd door het feit dat die gebruiker toegang krijgt tot een gedeelde map die hij nog nooit heeft geopend, wordt zo een gecorreleerd incident in plaats van drie afzonderlijke waarschuwingen met lage prioriteit.

endpointsdetectie en -respons (EDR)

EDR-tools monitoren individuele endpointsen in realtime op hostgebaseerde en gedragsgerelateerde IOC’s. Ze registreren gedetailleerde telemetriegegevens, vergelijken gedrag met dreigingsbibliotheken en IOC-databases, en ondersteunen geautomatiseerde of door analisten gestuurde reacties, waaronder isolatie, het beëindigen van processen en het in quarantaine plaatsen van bestanden.

Managed Detection and Response (MDR)

MDR-diensten voegen een analytische laag toe aan SIEM- en EDR-technologie. In plaats van de beoordeling en het onderzoek van IOC’s aan interne medewerkers over te laten, houden MDR-aanbieders continu toezicht en reageren zij namens de klant op bevestigde bedreigingen. Voor organisaties die niet over een 24/7 beveiligingsdienst beschikken, zorgt MDR ervoor dat de detectie van IOC’s wordt omgezet in een operationele reactie.

Clouddetectie en -respons (CDR)

Naarmate steeds meer bedrijfsactiviteiten worden verplaatst naar platforms zoals Microsoft 365 en Google Workspace, zijn cloudgebaseerde IOC’s een belangrijk onderdeel van het dreigingsbeeld geworden. CDR-tools breiden de detectie van IOC’s uit naar SaaS-omgevingen en signaleren onder meer ongebruikelijke OAuth-app-machtigingen, aanmeldingen vanaf onmogelijke locaties, het massaal downloaden van bestanden en ongeautoriseerde wijzigingen in de configuraties van cloudtenants.

Platforms voor dreigingsinformatie

Threat intelligence-platforms verzamelen IOC-gegevens uit wereldwijde feeds, overheidsadviezen, onderzoek van leveranciers en informatie die door de community wordt gedeeld. Ze vullen waarschuwingen aan met context over waarmee een bepaald IP-adres, domein of bestandshash in verband is gebracht, welke aanvalsgroepen er gebruik van maken en hoe recent het in actieve campagnes is waargenomen, waardoor analisten beter kunnen bepalen wat ze als eerste moeten onderzoeken.

Hoe Kaseya teams helpt bij het opsporen van en reageren op IOC’s

Het beveiligingsplatform van Kaseya is ontworpen om IOC’s over het gehele aanvalsoppervlak te detecteren en deze detectie te koppelen aan een snelle, gecoördineerde reactie, met name voor MSP’s en kleine IT-teams die niet over een omvangrijke interne beveiligingsafdeling beschikken.

Kaseya SIEM verzamelt telemetriegegevens uit meer dan 60 gegevensbronnen, legt verbanden tussen overeenkomende IOC’s en verdachte gedragspatronen op het gebied van endpointsen, identiteit, netwerken en de cloud, en bewaart logbestanden gedurende 400 dagen ter ondersteuning van forensisch onderzoek. Geautomatiseerde responsregels kunnen onmiddellijk in werking treden zodra IOC’s worden bevestigd, waarbij accounts worden geblokkeerd, apparaten worden geïsoleerd en aflopende sessies worden gemarkeerd zonder dat er handmatige tussenkomst nodig is.

Datto EDR controleert endpointsen in realtime op hostgebaseerde en gedragsgerelateerde IOC’s, koppelt detecties aan het MITRE ATT&CK-raamwerk voor directe context voor analisten en biedt meer dan 65 geautomatiseerde responsmaatregelen, waaronder het terugdraaien van ransomware.

Kaseya MDR beschikt over in de VS gevestigde beveiligingsanalisten die uw omgeving 24 uur per dag in de gaten houden, door IOC’s geactiveerde waarschuwingen onderzoeken en inperkingsmaatregelen nemen wanneer bedreigingen worden bevestigd. Voor organisaties die 24/7 IOC-respons nodig hebben zonder zelf een SOC op te zetten, is MDR de praktische oplossing.

SaaS Alerts breidt IOC-detectie uit naar Microsoft 365, Google Workspace en andere cloudtoepassingen. Teams kunnen aangepaste IOC-regels definiëren met behulp van gebeurtenistriggers en filters, waarbij kant-en-klare IOC-sjablonen van de community voor veelvoorkomende bedreigingspatronen direct beschikbaar zijn. SaaS Alerts maakt rechtstreeks verbinding met Kaseya SIEM voor correlatie over verschillende oppervlakken heen, waardoor analisten op één plek een uniform overzicht krijgen van IOC-activiteiten op eindpunten en in de cloud. Samen bieden deze tools MSP's en IT-teams het inzicht en de reactiemogelijkheden om op IOC's te reageren in elke laag van de omgeving, zonder dat daarvoor een speciaal beveiligingscentrum nodig is.