Glossar · einfach erklärt

IoC (Indicators of Compromise)

IoCs sind Spuren eines Angriffs: Hashes, Domains, IP-Adressen. Wertvoll für die Jagd — aber schnell veraltet.

Indicators of Compromise (IoCs) sind beobachtbare Spuren, die auf eine Kompromittierung hindeuten: Datei-Hashes bekannter Malware, Command-and-Control-Domains, verdächtige IP-Adressen, charakteristische Registry-Einträge oder Mutex-Namen.

IoCs sind das Tauschgut der Threat-Intelligence-Welt: Feeds und Berichte liefern sie, Sicherheitswerkzeuge gleichen Umgebung und Logs dagegen ab. Ihr Wert ist real — aber begrenzt, denn Angreifer wechseln Infrastruktur und Werkzeuge schnell.

Wie arbeitet man mit IoCs?

Zwei Richtungen: Retrospektiv wird der Bestand durchsucht — tauchen die Hashes, Domains oder IPs aus einem aktuellen Bericht in unseren Logs der letzten Monate auf? Prospektiv fließen IoCs in Blocklisten und Erkennungsregeln, damit künftige Kontakte sofort auffallen.

Die Grenze beschreibt die Pyramid of Pain: Hashes und IPs kann ein Angreifer trivial ändern, Domains mit wenig Aufwand — Verhaltensweisen (TTPs, siehe MITRE ATT&CK) dagegen nur teuer. Reife Erkennung stützt sich deshalb auf Verhalten und nutzt IoCs als schnelle, aber flüchtige Ergänzung.

Typische IoC-Kategorien

Datei-Indikatoren: Hashes, Dateinamen, Pfade, Signaturmerkmale.
Netzwerk-Indikatoren: Domains, IP-Adressen, URLs, Zertifikats-Fingerprints.
Host-Indikatoren: Registry-Schlüssel, Dienste, geplante Tasks, Mutexe.
Verhaltensnahe Indikatoren: charakteristische Befehlszeilen oder Abläufe.

Häufige Fragen zu IoC (Indicators of Compromise)

Woher bekommt man IoCs?

Aus Threat-Intelligence-Feeds (kommerziell und offen), Herstellerberichten, CERT-Warnungen, Branchen-Sharing-Gruppen — und aus eigenen Vorfällen: Jede Incident-Response produziert Indikatoren, die künftige Erkennung schärfen.

Warum veralten IoCs so schnell?

Weil Angreifer die zugrunde liegenden Artefakte billig wechseln: Neue Kompilierung ändert den Hash, neue Domains kosten Cent-Beträge, Cloud-IPs rotieren ohnehin. Deshalb gilt: IoCs für den schnellen Abgleich nutzen, Erkennung langfristig auf Verhalten stützen.

Was ist der Unterschied zwischen IoC und IoA?

IoCs belegen, dass etwas passiert ist — Spuren nach der Tat. Indicators of Attack (IoAs) beschreiben laufendes Angriffsverhalten, etwa verdächtige Prozessketten, unabhängig von bekannten Artefakten. IoAs erkennen auch Neues, IoCs nur Bekanntes.

Wie prüfe ich meine Umgebung gegen IoCs?

Über SIEM- oder EDR-Suchen gegen historische Logs (Retro-Hunting) und über automatische Feeds in Firewalls, DNS-Filter und Endpunktschutz. Wichtig ist die Rückschau: Ein neuer Bericht sollte immer die Frage auslösen, ob die Indikatoren früher schon bei uns auftauchten.

Was ist die Pyramid of Pain?

Ein Modell, das Indikatoren danach ordnet, wie weh ihre Erkennung dem Angreifer tut: Hashes und IPs unten (trivial zu ändern), Domains und Artefakte in der Mitte, Werkzeuge und Verhaltensmuster oben. Je höher die Ebene, desto nachhaltiger die Erkennung.