Indicadores de comprometimento (IOCs): Tipos, exemplos, detecção e resposta

Quando um invasor se move pelo seu ambiente, ele deixa rastros. Um arquivo gravado em um local incomum. Uma conexão de saída para um endereço IP com o qual nenhum processo legítimo deveria se comunicar. Um login proveniente de um país onde você não possui funcionários. Esses são indicadores de comprometimento (IOCs): evidências digitais de que um sistema ou rede foi violado, ou de que uma violação está ocorrendo ativamente.

Para equipes de segurança e MSPs, os IOCs são uma das principais ferramentas para detectar ameaças que já conseguiram ultrapassar o perímetro. Ferramentas como o Datto EDR, o Kaseya SIEM e o Kaseya MDR foram desenvolvidas exatamente com esse objetivo: detectar IOCs em todo o seu ambiente e transformá-los em respostas coordenadas antes que os danos se espalhem.

O que são indicadores de comprometimento?

Os indicadores de comprometimento (IOCs) são elementos de evidência forense digital que sugerem que um sistema, terminal ou rede foi acessado sem autorização, infectado por malware ou foi alvo de um ataque. O termo “comprometimento” é intencional: quando a maioria dos IOCs é identificada, uma invasão já ocorreu ou está em andamento.

Os IOCs podem ser artefatos coletados de logs, tráfego de rede, sistemas de arquivos ou telemetria de terminais. Eles incluem hashes de arquivos específicos associados a malware conhecido, endereços IP ou domínios utilizados para comando e controle, alterações em chaves do Registro, comportamento incomum de processos e padrões de autenticação que sugiram roubo de credenciais.

As equipes de segurança utilizam os IOCs de duas maneiras. De forma reativa, após a identificação de um evento suspeito, os analistas procuram IOCs para entender o que aconteceu, rastrear o caminho do invasor e determinar o escopo do incidente. De forma proativa, as equipes inserem IOCs conhecidos nas ferramentas de detecção para que, caso os mesmos artefatos apareçam novamente, um alerta seja acionado automaticamente. É esse segundo uso que torna valiosos os feeds de inteligência contra ameaças e o compartilhamento de IOCs.

Vale a pena deixar clara uma limitação: a detecção de IOCs é, por natureza, retrospectiva. Se suas ferramentas identificaram um IOC, isso significa que algo já deu errado. O objetivo de um bom monitoramento de IOCs é reduzir o intervalo entre o momento em que ocorre uma invasão e o momento em que ela é detectada, pois é nesse intervalo que os invasores atuam.

Indicadores de comprometimento x indicadores de ataque (IOAs): Qual é a diferença?

Um indicador de comprometimento é uma evidência de que algo ruim já aconteceu. Ele se baseia em artefatos: um hash de arquivo, uma chave do Registro, um nome de domínio, um endereço IP. Os IOCs são específicos e estáticos.

Um indicador de ataque (IOA) concentra-se no comportamento, e não em artefatos. Os IOAs descrevem as técnicas e ações utilizadas por um invasor, independentemente das ferramentas específicas que ele empregue. Um processo que gera um processo filho que tenta estabelecer uma conexão de rede é um padrão de IOA. Isso pode ser desencadeado por malware conhecido ou por uma ameaça totalmente nova que nunca foi catalogada. Os IOAs são mais abrangentes e mais resistentes à evasão, pois alterar o hash de um arquivo não altera o comportamento subjacente.

Na prática, as operações de segurança maduras utilizam ambos. Os IOCs detectam rapidamente ameaças conhecidas. Os IOAs identificam ataques inéditos e adversários sofisticados que criam ferramentas especificamente para evitar serem detectados em bancos de dados de IOCs conhecidos.

Tipos de indicadores de comprometimento

Os IOCs são agrupados em quatro categorias com base em sua origem e no que descrevem.

IOCs baseados em rede

Os IOCs de rede são artefatos associados a atividades de rede suspeitas ou maliciosas. Eles incluem endereços IP vinculados à infraestrutura de agentes maliciosos, domínios utilizados para comunicação de comando e controle (C2), padrões incomuns de tráfego de saída e consultas DNS para domínios que não correspondem a serviços legítimos.

Como os IOCs de rede geralmente representam uma comunicação ativa com infraestruturas controladas por invasores, é importante detectá-los rapidamente. Um terminal que tenha sido comprometido, mas que ainda não tenha exfiltrado dados, ainda pode ser contido se a conexão C2 de saída for detectada primeiro.

IOCs baseados no host

Os IOCs baseados no host estão presentes em terminais e dispositivos individuais. Eles incluem alterações inesperadas em chaves do Registro ou arquivos do sistema, novos processos em execução sob processos pais incomuns, modificações em tarefas agendadas ou entradas de inicialização, arquivos que aparecem em locais onde nenhum software legítimo grava dados e alterações não autorizadas nas permissões de contas.

As ferramentas EDR são o principal mecanismo para detectar IOCs baseados no host, pois oferecem visibilidade no nível do agente sobre tudo o que ocorre no dispositivo — cada inicialização de processo, cada gravação de arquivo, cada modificação no Registro. Essa telemetria permite detectar malware sem arquivos e ataques do tipo “living-off-the-land”, que não deixam arquivos no disco, mas ainda assim deixam rastros comportamentais.

IOCs baseados em arquivos

Os IOCs baseados em arquivos são artefatos específicos vinculados a arquivos maliciosos conhecidos. A forma mais comum é um hash criptográfico (MD5, SHA-1 ou SHA-256) que identifica um arquivo de maneira exclusiva. Se um hash corresponder a um associado a um malware conhecido, isso é um forte indício de que o arquivo é malicioso, independentemente do nome que tenha recebido.

Outros IOCs baseados em arquivos incluem nomes de arquivos e caminhos utilizados por famílias conhecidas de malware, além de detalhes de certificados digitais de malware assinado. Os IOCs baseados em arquivos são rápidos de verificar e fáceis de compartilhar, razão pela qual constituem a maior parte dos dados dos feeds de inteligência contra ameaças. Sua limitação é que podem ser facilmente contornados pela recompilação do código, o que altera o hash.

IOCs comportamentais

Os IOCs comportamentais descrevem padrões de atividade que se desviam das linhas de base estabelecidas, independentemente dos arquivos ou artefatos específicos envolvidos. Várias tentativas fracassadas de login em diferentes contas em um curto intervalo de tempo, uma conta de usuário acessando compartilhamentos de arquivos que nunca havia acessado antes ou grandes volumes de dados sendo lidos de um banco de dados por um único usuário são, todos, IOCs comportamentais.

Os IOCs comportamentais exigem uma linha de base estabelecida para que sejam significativos. As plataformas SIEM e as ferramentas de análise de comportamento de usuários e entidades (UEBA) constroem essas linhas de base ao longo do tempo e sinalizam desvios automaticamente, tornando-as especialmente eficazes na detecção de ameaças que evitam deliberadamente corresponder às assinaturas conhecidas de IOCs.

Exemplos comuns de indicadores de comprometimento

Saber como os IOCs se apresentam na prática ajuda as equipes de segurança a identificar o que devem procurar. Os exemplos mais comuns incluem:

• Atividade incomum de autenticação: várias tentativas de login malsucedidas em diversas contas a partir do mesmo endereço IP, um login bem-sucedido a partir de uma localização geográfica inesperada ou de um dispositivo que nunca havia acessado a conta anteriormente, e logins em horários incomuns — tudo isso indica um possível roubo de credenciais ou acesso não autorizado.
• Tráfego de saída anormal: um dispositivo que, de repente, transfere grandes volumes de dados para destinos externos com os quais nunca se comunicou, ou tráfego direcionado a intervalos de IPs conhecidos como maliciosos, indica uma possível exfiltração. O tráfego enviado em intervalos regulares e programados geralmente sinaliza a transmissão de sinais para a infraestrutura C2.
• Processos ou softwares inesperados: processos em execução a partir de diretórios temporários, executáveis não assinados em locais onde o software normalmente não se encontra e ferramentas de acesso remoto que não deveriam estar presentes em máquinas de produção são todos elementos que merecem investigação. Tarefas agendadas ou entradas de inicialização que surgiram sem uma solicitação de alteração correspondente podem indicar persistência do invasor.
• Alterações suspeitas no Registro: Os invasores modificam chaves do Registro para manter a persistência, desativar ferramentas de segurança ou alterar o comportamento do sistema. Alterações nas chaves de execução automática ou nas configurações de serviços sem um ticket de alteração que as justifique constituem fortes indicadores de comprometimento (IOCs) baseados no host.
• Anomalias no DNS: grandes volumes de solicitações de DNS para um único domínio, solicitações para domínios recém-registrados ou gerados algoritmicamente (uma técnica conhecida como algoritmos de geração de domínios, ou DGA) e consultas a domínios maliciosos conhecidos são indicadores de um possível comprometimento da rede.
• Alterações não autorizadas na configuração: regras do firewall modificadas para abrir portas de entrada, novas contas administrativas criadas sem autorização e softwares de segurança desativados ou desinstalados são, todos, indicadores de comprometimento (IOCs) que exigem investigação imediata.

Como os IOCs são utilizados na resposta a incidentes

A detecção de IOCs só tem valor quando está integrada a um fluxo de trabalho de resposta. Identificar um IOC sem agir rapidamente é apenas um pouco melhor do que nem sequer identificá-lo.

Na prática, a resposta a incidentes orientada por IOCs segue um padrão consistente. Um alerta é acionado quando um IOC conhecido é identificado ou quando um comportamento anômalo ultrapassa um limite. Um analista verifica se isso representa uma ameaça real. Se confirmada, avalia-se o escopo: quais sistemas foram afetados, quais dados podem ter sido acessados e como o invasor conseguiu entrar. Em seguida, ocorre a contenção, isolando terminais ou bloqueando conexões suspeitas. A correção remove artefatos maliciosos e fecha o vetor de acesso. Por fim, os IOCs coletados durante a investigação são adicionados às regras de detecção, para que o mesmo padrão seja identificado mais rapidamente na próxima vez.

A rapidez é fundamental em cada etapa. O Relatório Global de Resposta a Incidentes da Unit 42 de 2026 revelou que os ataques mais rápidos chegam a exfiltrar dados em até 72 minutos após o acesso inicial. As organizações que contam com detecção e contenção automatizadas de IOCs resolvem os incidentes de forma consistentemente mais rápida do que aquelas que dependem da análise manual.

Ferramentas de correlação de ameaças e detecção de IOCs

Existem várias categorias de tecnologia de segurança desenvolvidas especificamente para a detecção e resposta a IOCs.

Gerenciamento de informações e eventos de segurança (SIEM)

O SIEM é a principal ferramenta para correlacionar IOCs em todo um ambiente. Um SIEM coleta dados de logs e eventos de toda a pilha de TI, aplica regras de correlação para identificar padrões que correspondam a IOCs conhecidos ou comportamentos suspeitos e gera alertas priorizados. Como um SIEM analisa dados de várias fontes simultaneamente, ele relaciona eventos que, isoladamente, pareceriam insignificantes: um login malsucedido, seguido por um login bem-sucedido a partir de um endereço IP diferente, seguido pelo acesso desse usuário a um compartilhamento de arquivos que ele nunca havia acessado antes, torna-se um incidente correlacionado, em vez de três alertas separados de baixa prioridade.

Detecção e resposta em terminais (EDR)

As ferramentas EDR monitoram terminais individuais em tempo real, em busca de IOCs baseados no host e comportamentais. Elas registram dados de telemetria detalhados, comparam comportamentos com bibliotecas de ameaças e bancos de dados de IOCs e oferecem suporte a respostas automatizadas ou orientadas por analistas, incluindo isolamento, encerramento de processos e quarentena de arquivos.

Detecção e resposta gerenciadas (MDR)

Os serviços de MDR acrescentam uma camada de análise às tecnologias SIEM e EDR. Em vez de deixar a triagem e a investigação de IOCs a cargo da equipe interna, os provedores de MDR monitoram continuamente e respondem às ameaças confirmadas em nome do cliente. Para organizações sem cobertura de operações de segurança 24 horas por dia, 7 dias por semana, o MDR é o que transforma a detecção de IOCs em resposta operacional.

Detecção e resposta na nuvem (CDR)

À medida que mais atividades empresariais migram para plataformas como o Microsoft 365 e o Google Workspace, os IOCs baseados na nuvem passaram a constituir uma parte significativa do panorama de ameaças. As ferramentas de CDR ampliam a detecção de IOCs para ambientes SaaS, sinalizando indícios como permissões incomuns de aplicativos OAuth, logins de locais improváveis, downloads em massa de arquivos e alterações não autorizadas nas configurações dos locatários da nuvem.

Plataformas de inteligência contra ameaças

As plataformas de inteligência contra ameaças agregam dados de IOCs provenientes de fontes globais, alertas governamentais, pesquisas de fornecedores e compartilhamento da comunidade. Elas enriquecem os alertas com informações contextuais sobre a que um determinado endereço IP, domínio ou hash de arquivo está associado, quais grupos adversários o utilizam e há quanto tempo ele foi identificado em campanhas ativas, ajudando os analistas a priorizar o que deve ser investigado primeiro.

Como a Kaseya ajuda as equipes a detectar e responder aos IOCs

A plataforma de segurança da Kaseya foi desenvolvida com o objetivo de detectar IOCs em toda a superfície de ataque e integrar a detecção a uma resposta rápida e coordenada, voltada especificamente para MSPs e equipes de TI enxutas que não contam com uma grande equipe interna de segurança.

O Kaseya SIEM coleta dados de telemetria de mais de 60 fontes, correlaciona correspondências de IOCs e padrões de comportamento suspeitos em terminais, identidades, rede e nuvem, e retém registros por 400 dias para apoiar investigações forenses. Regras de resposta automatizadas podem agir imediatamente quando os IOCs são confirmados, bloqueando contas, isolando dispositivos e sinalizando sessões prestes a expirar, sem intervenção manual.

O Datto EDR monitora terminais em tempo real em busca de indicadores de comprometimento (IOCs) baseados no host e comportamentais, mapeia as detecções para a estrutura MITRE ATT&CK a fim de fornecer contexto imediato aos analistas e oferece mais de 65 ações de resposta automatizadas, incluindo a reversão de ransomware.

O Kaseya MDR conta com analistas de segurança sediados nos Estados Unidos que monitoram seu ambiente 24 horas por dia, 7 dias por semana, investigam alertas acionados por IOCs e tomam medidas de contenção quando as ameaças são confirmadas. Para organizações que precisam de cobertura de resposta a IOCs 24 horas por dia, 7 dias por semana, sem a necessidade de criar um SOC, o MDR é a solução prática.

SaaS Alerts amplia a detecção de IOC para o Microsoft 365, o Google Workspace e outros aplicativos em nuvem. As equipes podem definir regras personalizadas de IOC usando gatilhos de eventos e filtros, com modelos de IOC da comunidade que abrangem padrões comuns de ameaças disponíveis prontos para uso. O SaaS Alerts se conecta diretamente ao Kaseya SIEM para correlação entre superfícies, oferecendo aos analistas uma visão unificada da atividade de IOC em terminais e na nuvem em um único local. Juntas, essas ferramentas proporcionam aos MSPs e às equipes de TI a visibilidade e a capacidade de resposta necessárias para agir sobre os IOCs em todas as camadas do ambiente, sem a necessidade de um centro de operações de segurança dedicado para que isso funcione.