İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

IOC Nedir?

İngilizce: Indicator of Compromise

Yayın: · Son güncelleme:

IOC Nedir? Kısaca

IOC (Indicator of Compromise), bir sistemin ele geçirildiğini ya da saldırıya uğradığını gösteren teknik iz anlamına gelir. Zararlı IP adresi, alan adı, dosya özeti ve şüpheli kayıt değişiklikleri tipik örneklerdir.

IOC nedir?
İçindekiler
  1. IOC nedir?
  2. Hangi türleri var?
  3. IOC ne demek, sınırları nelerdir?

IOC nedir?

IOC, ele geçirilme göstergesi anlamına gelen Indicator of Compromise ifadesinin kısaltmasıdır. Bir saldırının geride bıraktığı teknik izdir. Tıpkı bir olay yerindeki parmak izi gibi, bu izler saldırının olduğunu ve bazen kimin yaptığını gösterir.

Güvenlik ekipleri bu göstergeleri paylaşır ve kendi sistemlerinde arar. Böylece bir kurumda tespit edilen saldırı, başka kurumlarda daha erken fark edilir.

Hangi türleri var?

Sık karşılaşılan göstergeler şunlardır:

Tür Örnek
Ağ Zararlı IP adresi, alan adı, web adresi
Dosya Zararlı dosyanın özet değeri (hash)
Sistem Şüpheli kayıt defteri girdisi, beklenmeyen servis
Davranış Olağandışı saatte toplu veri çıkışı

Örneğin bir güvenlik bülteninde, bir fidye yazılımı kampanyasında kullanılan beş alan adı ve üç dosya özeti yayımlanır. Bir kurum bu listeyi SIEM ve güvenlik duvarına ekler. Geçmiş kayıtlarda bu alan adlarından birine bağlanan bir bilgisayar bulunursa, o cihaz hemen incelemeye alınır.

IOC ne demek, sınırları nelerdir?

Kısaca IOC ne demek sorusunun cevabı "bir saldırının bilinen izi"dir. Bu izlerin önemli bir sınırı vardır: Saldırganlar IP adreslerini ve alan adlarını kolayca değiştirir. Bu yüzden basit göstergelerin ömrü kısadır.

Daha kalıcı bir yaklaşım, saldırganın davranışına odaklanan saldırı göstergeleridir (IOA). Yine de IOC'ler hızlı engelleme ve geçmişe dönük arama için çok kullanışlıdır. Göstergelerin kaynağı için tehdit istihbaratı maddesine bakabilirsiniz.

Sıkça Sorulan Sorular

IOC ile IOA arasındaki fark nedir?

IOC, saldırının bıraktığı bilinen teknik izlerdir ve genellikle olaydan sonra tespit edilir. IOA ise saldırganın davranış kalıplarına odaklanır ve saldırı sürerken fark edilmeyi amaçlar.

IOC listeleri nereden bulunur?

Güvenlik üreticilerinin raporları, sektörel paylaşım grupları ve resmî siber güvenlik birimlerinin bültenleri başlıca kaynaklardır.

İlgili terimler

Tehdit İstihbaratı(Threat Intelligence)Tehdit istihbaratı, saldırgan grupların hedefleri, yöntemleri ve bıraktıkları teknik izler hakkında toplanıp analiz edilen, kurumların saldırılara karşı daha iyi hazırlanmasını ve karar almasını sağlayan bilgidir.Tehdit Avcılığı(Threat Hunting)Tehdit avcılığı (threat hunting), güvenlik araçlarının uyarı üretmesini beklemeden, bir hipotezden yola çıkarak ağda ve cihazlarda fark edilmeden kalmış saldırgan izlerini proaktif olarak arama çalışmasıdır.SIEMSIEM (Security Information and Event Management), sunucu, güvenlik duvarı, uygulama ve kullanıcı sistemlerinden gelen kayıtları tek merkezde toplayıp ilişkilendiren, şüpheli olaylar için uyarı üreten güvenlik bilgi ve olay yönetimi sistemidir.Adli Bilişim(Digital Forensics)Adli bilişim (digital forensics), bilgisayar, telefon, sunucu ve bulut hesapları gibi kaynaklardaki dijital delillerin bütünlüğü korunarak toplanması, incelenmesi ve hukuki ya da kurumsal süreçlerde kullanılabilir şekilde raporlanmasıdır.Alan Adı(Domain Name)Alan adı (domain name), bir web sitesine ulaşmak için IP adresi yerine kullanılan, akılda kalan addır. Örneğin parazade.com bir alan adıdır ve DNS sistemi bu adı sitenin bulunduğu sunucunun IP adresine çevirir.Fidye Yazılımı(Ransomware)Fidye yazılımı (ransomware), bir cihazdaki ya da ağdaki dosyaları şifreleyerek erişilemez hâle getiren ve şifreyi çözmek karşılığında genellikle kripto para ile fidye isteyen kötü amaçlı yazılımdır.