IoC（侵害指標） とは？

IoCは「攻撃を受けた痕跡」のことだよ。たとえば泥棒が残した足あとや指紋みたいなもので、不審なIPアドレス、マルウェアのファイルハッシュ、怪しいドメイン名なんかが該当するよ。

集めたIoCをSIEMやEDRに登録しておくと、同じ攻撃パターンが来たときに自動で検知・ブロックできるんだ。たとえば「このIPアドレスは攻撃に使われた」と分かれば、次にそのIPから通信が来たら即座にアラートを出せるよ。

するよ！STIXやTAXIIといった標準フォーマットを使って、組織間でIoCを交換する仕組みがあるんだ。ある会社が見つけた攻撃の痕跡を業界全体で共有すれば、同じ攻撃者による被害を防げるからね。

残念ながらそうでもないんだ。IoCは「何が使われたか」は分かるけど、「どうやって攻撃したか」までは分からない。攻撃者はIPアドレスやドメインを頻繁に変えるから、IoCだけだとイタチごっこになりがちだよ。

そこでTTPsと組み合わせるのが大事なんだ。IoCが「犯人の指紋」なら、TTPsは「犯人の行動パターン」。MITRE ATT&CKフレームワークではIoCとTTPsを紐づけて管理していて、セキュリティの世界では「IoCは消耗品、TTPsは資産」と言われるくらい、両方を組み合わせた分析が重要視されているよ。