IOC — טביעת האצבע הדיגיטלית של כל תקיפה
פורסם 30 ביולי 20266 דקות קריאה
כל תקיפת סייבר, מתוחכמת ככל שתהיה, משאירה עקבות: כתובת IP שממנה בוצעה הסריקה, דומיין שאירח את דף הפישינג, Hash של הקובץ הזדוני, כתובת השרת שאליו הנוזקה מדווחת. העקבות האלה — Indicators of Compromise, או בקיצור IOC — הם חומר הגלם החשוב ביותר של ההגנה המודרנית. השאלה היא לא אם יש לכם גישה אליהם, אלא כמה מהר הם הופכים אצלכם לחסימה.
סוגי ה־IOC המרכזיים
אינדיקטורים מגיעים בכמה משפחות עיקריות, וכל אחת נחסמת בשכבת הגנה אחרת. ההבנה של המיפוי הזה חשובה, כי אינדיקטור שמגיע רק לשכבה אחת משאיר את שאר הדלתות פתוחות.
- כתובות IP עוינות — נחסמות ב־Firewall וב־Proxy, לפני יצירת חיבור
- דומיינים ו־URLs זדוניים — נחסמים ב־DNS Security וב־Secure Web Gateway
- Hashes של קבצים — מופצים ל־EDR ולאנטי־וירוס לחסימה בתחנות הקצה
- שולחים ודומייני שליחה חשודים — נחסמים במערכות הדוא״ל וב־Email Gateway
- כתובות Command & Control — נחסמות ברשת כדי לנתק נוזקות פעילות
מחזור החיים של אינדיקטור
לכל IOC יש חלון רלוונטיות. דומיין פישינג נרשם, מופעל בקמפיין, ונזנח לרוב בתוך שעות או ימים — לעיתים כי הוא כבר 'נשרף' וזוהה. כתובות IP מוחלפות אף מהר יותר, במיוחד כשהתוקפים משתמשים בתשתיות ענן שכירות או ברשתות פרוקסי.
המשמעות כפולה: מצד אחד, אינדיקטור שמגיע למערכות ההגנה באיחור עלול להיות חסר ערך — הקמפיין כבר עבר לתשתית חדשה. מצד שני, אינדיקטור ישן שנשאר במערכות לנצח יוצר רעש: חסימות שווא, עומס על חוקי ה־Firewall ופגיעה בביצועים. ניהול IOC מקצועי כולל גם הכנסה מהירה וגם הוצאה מסודרת.
אימות והעשרה: לא כל אינדיקטור ראוי לחסימה
הפצה עיוורת של כל פיד מודיעין היא מתכון לתקלות. כתובת IP יכולה להיות שייכת לשירות ענן לגיטימי שאירח זמנית תשתית עוינת; דומיין יכול להיות אתר פרוץ שתוקן. לכן שלב האימות וההעשרה קריטי: בדיקת מוניטין ממקורות מצטלבים, הקשר מודיעיני (לאיזה קמפיין האינדיקטור שייך), רמת ודאות ורלוונטיות לארגון.
בשירות כמו PULSE, השילוב של אימות אוטומטי עם בקרה אנושית של אנליסטים מאפשר להפיץ אינדיקטורים ברמת ודאות גבוהה — ולהימנע מחסימת שירותים לגיטימיים שמשביתה עבודה תקינה.
מקורות: גלובלי ומקומי — לא או/או
פידים גלובליים מכסים קמפיינים בינלאומיים רחבים, אבל קמפיינים ממוקדים — נגד מגזר מסוים או מדינה מסוימת — מופיעים קודם כל במודיעין מקומי: גופי CERT לאומיים, שיתופי מידע מגזריים, וניסיון מצטבר של צוותי SOC שפועלים באותו שוק.
ארגון ישראלי, למשל, מרוויח משמעותית מאינדיקטורים שמקורם במערך הסייבר הלאומי ובקהילת האבטחה המקומית — אינדיקטורים שלרוב יגיעו לפידים הגלובליים באיחור, אם בכלל.
מדד ההצלחה: Time to Block
בסופו של דבר, ערכו של IOC נמדד בזמן שעובר מרגע פרסומו ועד שהוא אכוף בכל שכבות ההגנה של הארגון. ארגון שמודד את עצמו על המדד הזה — ולא רק על כמות הפידים שהוא צורך — מתחיל לנהל את ההגנה שלו כמערכת מבצעית.
IOC הם השפה שבה מודיעין הופך להגנה. ארגון שמזרים אותם למערכות שלו מהר, מאומתים ומנוהלים לאורך כל מחזור החיים — מקטין באופן ישיר את הסיכוי שקמפיין פעיל יגיע למשתמשים שלו.
רוצים לראות איך PULSE עובד בסביבה שלכם?
צוות Persist Security ישמח להציג את השירות ולבחון התאמה לארגון.
קבעו פגישת ייעוץ