Quando um invasor se move pelo seu ambiente, ele deixa rastros. Um arquivo gravado em um local incomum. Uma conexão de saída para um endereço IP com o qual nenhum processo legítimo deveria se comunicar. Um login proveniente de um país onde você não possui funcionários. Esses são indicadores de comprometimento (IOCs): evidências digitais de que um sistema ou rede foi violado, ou de que uma violação está ocorrendo ativamente.
Para equipes de segurança e MSPs, os IOCs são uma das principais ferramentas para detectar ameaças que já conseguiram ultrapassar o perímetro. Ferramentas como o Datto EDR, o Kaseya SIEM e o Kaseya MDR foram desenvolvidas exatamente com esse objetivo: detectar IOCs em todo o seu ambiente e transformá-los em respostas coordenadas antes que os danos se espalhem.
O que são indicadores de comprometimento?
Os indicadores de comprometimento são elementos de evidência forense digital que sugerem que um sistema, terminal ou rede foi acessado sem autorização, infectado por malware ou alvo de um ataque. O termo “comprometimento” é intencional: quando a maioria dos IOCs é identificada, uma invasão já ocorreu ou está em andamento.
Os IOCs podem ser evidências coletadas de logs, tráfego de rede, sistemas de arquivos ou telemetria de terminais. Eles incluem hashes de arquivos específicos associados a malware conhecido, endereços IP ou domínios utilizados para comando e controle, alterações em chaves do Registro, comportamentos incomuns de processos e padrões de autenticação que sugiram roubo de credenciais.
As equipes de segurança utilizam os IOCs de duas maneiras. De forma reativa, após a identificação de um evento suspeito, os analistas procuram IOCs para compreender o que ocorreu, rastrear o caminho do invasor e determinar o alcance do incidente. De forma proativa, as equipes inserem IOCs conhecidos nas ferramentas de detecção para que, caso os mesmos artefatos apareçam novamente, um alerta seja acionado automaticamente. É essa segunda forma de utilização que torna valiosos os feeds de inteligência contra ameaças e o compartilhamento de IOCs.
Vale a pena deixar clara uma limitação: a detecção de IOCs é, por natureza, retrospectiva. Se suas ferramentas identificaram um IOC, é porque algo já deu errado. O objetivo de um bom monitoramento de IOCs é reduzir o intervalo entre o momento em que ocorre uma violação e o momento em que ela é detectada, pois é nesse intervalo que os invasores atuam.
Indicadores de comprometimento x indicadores de ataque (IOAs): qual é a diferença?
Um indicador de comprometimento é uma evidência de que algo ruim já aconteceu. Ele se baseia em artefatos: um hash de arquivo, uma chave do Registro, um nome de domínio, um endereço IP. Os IOCs são específicos e estáticos.
Um indicador de ataque concentra-se no comportamento, e não em artefatos. Os IOAs descrevem as técnicas e ações utilizadas por um invasor, independentemente das ferramentas específicas que ele utilize. Um processo que gera um subprocesso que tenta estabelecer uma conexão de rede é um padrão de IOA. Isso pode ser desencadeado por malware conhecido ou por uma ameaça totalmente nova que nunca foi catalogada. Os IOAs são mais abrangentes e mais resistentes à evasão, pois alterar o hash de um arquivo não altera o comportamento subjacente.
Na prática, as equipes de segurança maduras utilizam ambos. Os IOCs detectam rapidamente ameaças conhecidas. Os IOAs identificam novos ataques e adversários sofisticados que criam ferramentas especificamente para evitar serem detectados em bancos de dados de IOCs conhecidos.
Tipos de indicadores de comprometimento
Os IOCs são agrupados em quatro categorias com base na sua origem e no que descrevem.
IOCs baseados em rede
Os IOCs de rede são indicadores associados a atividades de rede suspeitas ou maliciosas. Eles incluem endereços IP vinculados à infraestrutura de agentes maliciosos, domínios utilizados para comunicação de comando e controle (C2), padrões incomuns de tráfego de saída e consultas DNS para domínios que não correspondem a serviços legítimos.
Como os IOCs de rede geralmente indicam comunicação ativa com infraestruturas controladas por invasores, é fundamental detectá-los rapidamente. Um terminal que tenha sido comprometido, mas que ainda não tenha exfiltrado dados, ainda pode ser contido se a conexão C2 de saída for detectada primeiro.
IOCs baseados no host
Os IOCs baseados no host estão presentes em terminais e dispositivos individuais. Eles incluem alterações inesperadas em chaves do Registro ou arquivos do sistema, novos processos em execução sob processos pai incomuns, modificações em tarefas agendadas ou entradas de inicialização, arquivos que aparecem em locais onde nenhum software legítimo grava dados e alterações não autorizadas nas permissões de contas.
As ferramentas EDR são o principal mecanismo para detectar indicadores de comprometimento (IOCs) baseados no host, pois oferecem visibilidade ao nível do agente sobre tudo o que ocorre no dispositivo — cada inicialização de processo, cada gravação de arquivo, cada modificação no Registro. Essa telemetria permite detectar malware sem arquivos e ataques do tipo “living-off-the-land”, que não deixam arquivos no disco, mas ainda assim deixam rastros comportamentais.
IOCs baseados em arquivos
Os IOCs baseados em arquivos são artefatos específicos vinculados a arquivos maliciosos conhecidos. A forma mais comum é um hash criptográfico (MD5, SHA-1 ou SHA-256) que identifica um arquivo de maneira exclusiva. Se um hash corresponder a um associado a um malware conhecido, isso é um forte indício de que o arquivo é malicioso, independentemente do nome que tenha recebido.
Outros IOCs baseados em arquivos incluem nomes de arquivos e caminhos utilizados por famílias conhecidas de malware, bem como detalhes de certificados digitais de malware assinado. Os IOCs baseados em arquivos são rápidos de verificar e fáceis de compartilhar, razão pela qual constituem a maior parte dos dados dos feeds de inteligência contra ameaças. Sua limitação é que podem ser facilmente contornados através da recompilação do código, o que altera o hash.
Indicadores de Conformidade Comportamentais
Os IOCs comportamentais descrevem padrões de atividade que se desviam das linhas de base estabelecidas, independentemente dos arquivos ou artefatos específicos envolvidos. Várias tentativas de login malsucedidas em diferentes contas em um curto intervalo de tempo, uma conta de usuário acessando compartilhamentos de arquivos que nunca havia acessado antes ou grandes volumes de dados sendo lidos de um banco de dados por um único usuário são todos exemplos de IOCs comportamentais.
Os IOCs comportamentais precisam de uma linha de base estabelecida para serem significativos. As plataformas SIEM e as ferramentas de análise de comportamento de usuários e entidades (UEBA) constroem essas linhas de base ao longo do tempo e sinalizam os desvios automaticamente, tornando-as especialmente eficazes na detecção de ameaças que evitam deliberadamente corresponder às assinaturas de IOC conhecidas.
Exemplos comuns de indicadores de comprometimento
Saber como os IOCs se apresentam na prática ajuda as equipes de segurança a identificarem o que devem procurar. Os exemplos mais comuns incluem:
- Atividade incomum de autenticação: várias tentativas de login malsucedidas em diversas contas a partir do mesmo endereço IP, um login bem-sucedido a partir de uma localização geográfica inesperada ou de um dispositivo que nunca havia acessado a conta anteriormente, e logins em horários incomuns são sinais de um possível roubo de credenciais ou acesso não autorizado.
- Tráfego de saída anômalo: um dispositivo que, de repente, transfere grandes volumes de dados para destinos externos com os quais nunca se comunicou, ou tráfego para intervalos de IPs conhecidos como maliciosos, indica uma possível exfiltração. O tráfego enviado em intervalos regulares e programados costuma indicar a comunicação com a infraestrutura C2.
- Processos ou softwares inesperados: processos em execução a partir de diretórios temporários, executáveis não assinados em locais onde o software normalmente não se encontra e ferramentas de acesso remoto que não deveriam estar em máquinas de produção são todos elementos que merecem ser investigados. Tarefas agendadas ou entradas de inicialização que surgiram sem uma solicitação de alteração correspondente podem indicar persistência do invasor.
- Alterações suspeitas no Registro: Os invasores modificam chaves do Registro para manter a persistência, desativar ferramentas de segurança ou alterar o comportamento do sistema. Alterações nas chaves de execução automática ou nas configurações de serviços sem um ticket de alteração comprovado constituem fortes indicadores de comprometimento (IOCs) baseados no host.
- Anomalias no DNS: grandes volumes de solicitações de DNS para um único domínio, solicitações para domínios recém-registrados ou gerados por algoritmos (uma técnica conhecida como algoritmos de geração de domínios, ou DGA) e consultas a domínios maliciosos conhecidos são todos indicadores de um possível comprometimento da rede.
- Alterações não autorizadas na configuração: regras do firewall modificadas para abrir portas de entrada, novas contas administrativas criadas sem autorização e software de segurança desativado ou desinstalado são indicadores de comprometimento (IOCs) que exigem investigação imediata.
Como os IOCs são utilizados na resposta a incidentes
A detecção de IOCs só tem valor quando está integrada a um fluxo de trabalho de resposta. Identificar um IOC sem agir rapidamente é apenas um pouco melhor do que nem sequer encontrá-lo.
Na prática, a resposta a incidentes orientada por IOCs segue um padrão consistente. Um alerta é acionado quando um IOC conhecido é identificado ou quando um comportamento anômalo ultrapassa um limite. Um analista verifica se isso representa uma ameaça real. Se confirmada, avalia-se o escopo: quais sistemas foram afetados, quais dados podem ter sido acessados e como o invasor conseguiu entrar. Segue-se a contenção, isolando terminais ou bloqueando conexões suspeitas. A remediação remove artefatos maliciosos e fecha o vetor de acesso. Por fim, os IOCs coletados durante a investigação são adicionados às regras de detecção, para que o mesmo padrão seja detectado mais rapidamente na próxima vez.
A rapidez é fundamental em cada etapa. O Relatório Global de Resposta a Incidentes da Unit 42 de 2026 revelou que os ataques mais rápidos chegam a extrair dados em até 72 minutos após o acesso inicial. As organizações que contam com detecção e contenção automatizadas de IOCs resolvem os incidentes de forma consistentemente mais rápida do que aquelas que dependem da análise manual.
Ferramentas de correlação de ameaças e detecção de IOCs
Existem várias categorias de tecnologia de segurança desenvolvidas especificamente para a detecção e resposta a IOCs.
Gerenciamento de informações e eventos de segurança (SIEM)
O SIEM é a principal ferramenta para correlacionar IOCs em todo um ambiente. Um SIEM coleta dados de logs e eventos de toda a pilha de TI, aplica regras de correlação para identificar padrões que correspondam a IOCs conhecidos ou comportamentos suspeitos e gera alertas priorizados. Como um SIEM analisa dados de várias fontes simultaneamente, ele conecta eventos que, isoladamente, pareceriam insignificantes: um login com falha, seguido por um login bem-sucedido a partir de um IP diferente, seguido pelo acesso desse usuário a um compartilhamento de arquivos que ele nunca havia acessado, torna-se um incidente correlacionado, em vez de três alertas separados de baixa prioridade.
Detecção e resposta em terminais (EDR)
As ferramentas EDR monitoram terminais individuais em tempo real, procurando indicadores de comprometimento (IOCs) baseados no host e comportamentais. Elas registram dados de telemetria detalhados, comparam comportamentos com bibliotecas de ameaças e bancos de dados de IOCs e oferecem suporte a respostas automatizadas ou orientadas por analistas, incluindo isolamento, encerramento de processos e quarentena de arquivos.
Detecção e resposta gerenciadas (MDR)
Os serviços MDR acrescentam uma camada de análise às tecnologias SIEM e EDR. Em vez de deixar a triagem e a investigação de IOCs a cargo da equipe interna, os provedores de MDR monitoram continuamente e respondem às ameaças confirmadas em nome do cliente. Para organizações sem cobertura de operações de segurança 24 horas por dia, 7 dias por semana, o MDR é o que transforma a detecção de IOCs em resposta operacional.
Detecção e resposta na nuvem (CDR)
À medida que cada vez mais atividades empresariais migram para plataformas como o Microsoft 365 e o Google Workspace, os IOCs baseados na nuvem passaram a constituir uma parte significativa do panorama de ameaças. As ferramentas de CDR ampliam a detecção de IOCs para ambientes SaaS, sinalizando indícios como permissões incomuns de aplicativos OAuth, logins de locais improváveis, downloads em massa de arquivos e alterações não autorizadas nas configurações dos locatários da nuvem.
Plataformas de inteligência contra ameaças
As plataformas de inteligência contra ameaças agregam dados de IOCs provenientes de fontes globais, alertas governamentais, pesquisas de fornecedores e compartilhamento da comunidade. Elas enriquecem os alertas com informações contextuais sobre a que um determinado endereço IP, domínio ou hash de arquivo está associado, quais grupos de adversários o utilizam e há quanto tempo ele foi observado em campanhas ativas, ajudando os analistas a priorizar o que investigar primeiro.
Como a Kaseya ajuda as equipes a detectar e responder a IOCs
A plataforma de segurança da Kaseya foi desenvolvida com o objetivo de detectar indicadores de comprometimento (IOCs) em toda a superfície de ataque e integrar a detecção a uma resposta rápida e coordenada, voltada especificamente para MSPs e equipes de TI enxutas que não contam com uma grande equipe interna de segurança.
O Kaseya SIEM coleta dados de telemetria de mais de 60 fontes, correlaciona correspondências de IOCs e padrões de comportamento suspeitos em terminais, identidades, redes e nuvem, e mantém os registros por 400 dias para apoiar investigações forenses. Regras de resposta automatizadas podem agir imediatamente quando os IOCs são confirmados, bloqueando contas, isolando dispositivos e sinalizando sessões prestes a expirar sem intervenção manual.
O Datto EDR monitora terminais em tempo real em busca de indicadores de comprometimento (IOCs) baseados no host e comportamentais, mapeia as detecções para a estrutura MITRE ATT&CK a fim de fornecer contexto imediato aos analistas e oferece mais de 65 ações de resposta automatizadas, incluindo a reversão de ransomware.
O Kaseya MDR conta com analistas de segurança sediados nos Estados Unidos que monitoram seu ambiente 24 horas por dia, investigam alertas acionados por IOCs e tomam medidas de contenção quando as ameaças são confirmadas. Para organizações que precisam de cobertura de resposta a IOCs 24 horas por dia, 7 dias por semana, sem a necessidade de criar um SOC, o MDR é a solução prática.
SaaS Alerts estende a detecção de IOCs para o Microsoft 365, Google Workspace e outros aplicativos em nuvem. As equipes podem definir regras de IOC personalizadas usando gatilhos de eventos e filtros, com modelos de IOC da comunidade que abrangem padrões comuns de ameaças disponíveis prontos para uso. SaaS Alerts diretamente ao Kaseya SIEM para correlação entre superfícies, oferecendo aos analistas uma visão unificada da atividade de IOCs em terminais e na nuvem em um único local. Juntas, essas ferramentas oferecem aos MSPs e equipes de TI a visibilidade e a capacidade de resposta necessárias para agir sobre IOCs em todas as camadas do ambiente, sem a necessidade de um centro de operações de segurança dedicado para que isso funcione.
