Indicador de compromiso (IoC)
En detección y en threat intelligence, un indicador de compromiso es un artefacto observable, como el hash de un fichero, una dirección, un dominio o una clave del registro, asociado a actividad maliciosa. Los indicadores son la forma de inteligencia más barata de consumir y la más fácil de cambiar para un adversario, y ese es exactamente el intercambio.
Cómo funciona
Un indicador se produce cuando alguien analiza una intrusión y le extrae artefactos. Esos artefactos se publican, se distribuyen por fuentes y comunidades de intercambio en formatos estructurados, y se cargan en las herramientas de detección, que los cruzan contra la telemetría: hashes contra ficheros ejecutados, dominios contra resoluciones, direcciones contra conexiones.
El valor es la velocidad. Cruzar un artefacto conocido es computacionalmente trivial, no necesita ningún modelo de comportamiento y produce una alerta de alta confianza con un paso siguiente evidente. Frente a las amenazas de baja gama que reutilizan infraestructura, el cruce de indicadores hace trabajo de verdad.
Qué sale mal
Los indicadores son la capa más frágil de la inteligencia, y su fragilidad tiene grados. El hash de un fichero cambia si cambia un byte, lo que le cuesta al atacante una recompilación. Un dominio o una dirección cambian cuando el operador rota su infraestructura, lo que le cuesta una tarde. Lo que de verdad le sale caro cambiar es su forma de comportarse: la secuencia de técnicas, los patrones de herramienta, las decisiones que hacen que una operación funcione. Eso son las tácticas, técnicas y procedimientos, y son el nivel que MITRE ATT&CK existe para describir.
Un programa de detección construido solo sobre fuentes de indicadores tiene por tanto un techo estructural: detecta aquello que ya le ha pasado a otro, con una infraestructura que el adversario aún no ha rotado. No detecta en absoluto a un operador dirigido, porque la infraestructura de un operador dirigido no ha aparecido nunca en la fuente de nadie. El otro coste es el volumen. Una fuente sin filtrar cargada directamente en un SIEM genera alertas sobre entradas caducadas, sobre alojamiento compartido y sobre servicios legítimos, y ese ruido es lo que hace que un analista cierre la que sí importaba.
Dónde aparece esto en una auditoría
En un ejercicio de red team generamos indicadores a propósito y los registramos, para que el cliente pueda comprobar después si sus herramientas habrían cruzado alguno, y en qué momento. La respuesta habitual es que la infraestructura que montamos para el proyecto no estaba en ninguna fuente y no cruzó con nada, y ese es el hallazgo: defiende la detección por comportamiento como no lo hace ninguna presentación de fabricante. Del lado de la inteligencia, las credenciales y los tokens de sesión que aparecen en mercados criminales son indicadores de un compromiso que ya ocurrió, y eso es lo que la vigilancia de tus datos y tus credenciales fuera de tu perímetro está montada para encontrar.