Поведенческие IOC: реестр, сеть и файловые артефакты

Индикаторы компрометации (IOC) — это криминалистические артефакты, указывающие на компрометацию системы. К ним относятся хеши файлов, IP-адреса, доменные имена, ключи реестра, мьютексы и шаблоны поведения, которые появляются при обмене данными об угрозах.

К файловым IOC относятся хеши MD5/SHA-256 вредоносных программ, пути и имена сброшенных файлов, а также сигнатуры содержимого файлов (правила YARA). IOC на основе хешей ненадёжны: повторная компиляция меняет хеши, поэтому также следует учитывать поведенческие и нечёткие хеши.

Основные места закрепления: HKCU\Run, HKLM\Run, XML запланированных задач в реестре, записи служб и значения DLL-помощников Winlogon. Для каждого обнаруженного IOC реестра документируйте полный путь к ключу, имя значения и данные.

Фиксируйте домены C2, IP-адреса, порты и шаблоны URI. Для C2 через HTTPS добавляйте строки User-Agent, заголовки HTTP и отпечатки сертификатов. Домены DGA требуют обнаружения по шаблонам, а не по фиксированным IOC.

Вредоносные программы создают именованные мьютексы, чтобы предотвратить повторное заражение. Имя мьютекса — уникальный IOC. Проверяйте работающие мьютексы с помощью Process Hacker или Sysinternals Process Monitor, указав имя мьютекса, используемого образцом.

Для обнаружения внедрения в процесс отслеживайте последовательные цепочки API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread, исходящие от неожиданного родительского процесса. Эта последовательность — надёжный поведенческий IOC для классического внедрения.

Соединения SMB с общими ресурсами ADMIN$ или IPC$, создание службы PsExec, создание процессов WMI через WmiPrvSE.exe и шаблоны запуска инструментов, подобных PsExec, являются поведенческими IOC бокового перемещения.

Объекты индикаторов STIX оборачивают IOC в машиночитаемый формат с синтаксисом шаблонов и полями valid_from и confidence. Передавайте их через TAXII или платформы анализа угроз, чтобы использовать IOC в работе всей организации.

OpenIOC от Mandiant использует XML для объединения нескольких IOC в логические деревья (AND/OR). IOC может требовать: файл с определённым хешем AND наличие ключа реестра AND сетевое соединение с определённым IP-адресом, что снижает число ложных срабатываний.

IOC устаревают. Домены перенаправляются в sinkhole, IP-адреса перераспределяются, а хеши меняются. Ежемесячно проверяйте актуальность IOC. Удаляйте устаревшие IOC, обновляйте количество срабатываний и переводите IOC, появляющиеся в нескольких инцидентах, в списки блокировки высокого приоритета.

IOC превращаются в гипотезы для поиска угроз. Ищите в журналах совпадения с IOC с помощью запросов SIEM на SPL/KQL по историческим данным. Даже одно совпадение, обнаруженное спустя несколько месяцев, может показать время присутствия — период, в течение которого злоумышленники оставались незамеченными.

Какой тип IOC лучше всего противостоит простым изменениям вредоносной программы, например повторной компиляции?

IOC охватывают файлы, записи реестра, сетевые артефакты, мьютексы и шаблоны поведения. Тщательное документирование IOC, обмен ими через STIX и управление их жизненным циклом превращают исходные результаты расследования в многократно используемые данные для защиты.