IOC (Indicator of Compromise, „Indikator für eine Kompromittierung“) ist ein beobachtbares Artefakt auf einem System oder im Netzwerk, das auf einen Sicherheitsvorfall hindeutet — vergangen, laufend oder unmittelbar bevorstehend. Typische IOCs sind Datei-Hashes bekannter Malware, IP-Adressen von Angreifer-Infrastruktur, schädliche Domains, Registry-Keys, ungewöhnliche User-Agent-Strings oder Dateipfade von Angriffs-Tools.
Wie IOCs entstehen und genutzt werden
Der Begriff wurde durch Mandiant (später FireEye, heute Teil von Google Cloud) ab etwa 2010 geprägt; das quelloffene OpenIOC-Format (XML-basiert) standardisierte die Beschreibung von Indikatoren in Incident-Response-Engagements. IOCs dienen als Grundlage für Detection-Regeln: Ein Datei-Hash kann in einer YARA-Regel, eine Domain in einer Firewall- oder DNS-Blocklist, ein Verhalten in einer EDR-EDR-Regel landen.
Grenzen und Ergänzung
IOCs sind rückwärtsgerichtet: Sie erkennen bekannte Angriffe, aber keine neuen Varianten. Moderne Security-Operationen kombinieren sie deshalb mit Threat Hunting, Verhaltensanalyse und MITRE ATT&CK-Mapping. Verteilt werden IOCs typischerweise als STIX-Objekte über TAXII-Feeds oder über Plattformen wie MISP.
Verwandte Grundlagen: STIX, TAXII, Threat Intelligence, Threat Hunting, EDR.