O que é IOC (Indicador de Comprometimento) e como usar na prática
Entenda o que são IOCs, os tipos mais comuns (IP, domínio, URL, hash), de onde eles vêm e como usá-los para detectar e investigar incidentes de segurança.
Por Nonato Rios ·
Se você já leu um relatório de ameaça, um alerta de antivírus ou um boletim de segurança, provavelmente viu uma lista de endereços IP, domínios e sequências estranhas de letras e números no final. Essa lista é feita de IOCs, os Indicators of Compromise, ou Indicadores de Comprometimento. Este guia explica o que eles são, para que servem e como usá-los sem cair nas armadilhas mais comuns.
O que é um IOC
Um IOC é um vestígio técnico deixado por uma atividade maliciosa. Assim como a perícia usa impressões digitais e pegadas para reconstruir um crime, quem investiga incidentes de segurança usa IOCs para descobrir se um sistema foi atacado, por onde o atacante entrou e o que ele fez.
O ponto importante é que o IOC é observável: dá para procurar por ele em logs, no tráfego de rede ou nos arquivos de um computador. Se um relatório diz que um malware se comunica com o domínio exemplo-malicioso[.]com, qualquer equipe pode pesquisar esse domínio nos próprios registros de DNS e descobrir se algum computador da empresa tentou acessá-lo.
Tipos mais comuns de IOC
| Tipo | Exemplo | Onde procurar |
|---|---|---|
| Endereço IP | 203.0.113.45 |
Firewall, logs de servidor, VPN |
| Domínio | login-banco-seguro[.]com |
Logs de DNS, proxy |
| URL | hxxp://site[.]com/fatura.zip |
Proxy, e-mail, navegador |
| Hash de arquivo | 44d88612fea8a8f36de82e1278abb02f |
Antivírus, EDR, inventário de arquivos |
| Endereço de e-mail | suporte@dominio-falso[.]com |
Servidor de e-mail |
| Chave de registro, nome de processo | svch0st.exe |
Endpoint (EDR) |
Repare que os exemplos estão “desarmados” (defanged): [.] no lugar de . e hxxp no lugar de http. Essa é uma convenção da área para que ninguém clique por engano num endereço malicioso ao ler um relatório.
IOC não é a mesma coisa que IOA
Os IOCs mostram o que foi usado num ataque. Já os IOAs (Indicators of Attack, indicadores de ataque) descrevem comportamentos: um documento do Word que abre o PowerShell, um usuário que faz login de dois países em cinco minutos, um servidor que começa a criptografar arquivos em massa.
Os dois se complementam. IOCs são fáceis de compartilhar e procurar, mas o atacante troca de IP e de domínio com facilidade. IOAs são mais difíceis de detectar, mas continuam valendo mesmo quando a infraestrutura muda. Na prática, os IOCs ajudam a confirmar e a dimensionar um incidente, enquanto os IOAs ajudam a pegar ataques novos.
De onde vêm os IOCs
- Relatórios de ameaças publicados por empresas de segurança e por centros de resposta a incidentes (CERTs).
- Bases colaborativas, como o AbuseIPDB, onde administradores denunciam IPs que atacaram seus servidores.
- Plataformas de análise, como o VirusTotal e o MetaDefender, que reúnem resultados de dezenas de antivírus e listas de bloqueio.
- Seus próprios incidentes: tudo o que foi encontrado numa investigação interna vira IOC para monitorar dali em diante.
Como usar IOCs na prática
1. Triagem de alertas
Um alerta disparou por causa de uma conexão com um IP desconhecido. Antes de abrir um incidente, consulte a reputação desse IP. Se ele tem um histórico extenso de ataques, a prioridade sobe; se é um IP de um serviço legítimo, o alerta pode ser um falso positivo. A Consulta de reputação de IP faz isso para vários endereços de uma vez.
2. Busca retroativa (threat hunting)
Recebeu um relatório com IOCs de uma campanha recente? Procure esses indicadores nos logs dos últimos dias ou meses. Encontrar um deles indica que a campanha pode ter chegado ao seu ambiente.
3. Bloqueio preventivo
IOCs confirmados podem ser cadastrados em firewalls, filtros de DNS e antivírus para bloquear novas tentativas. Aqui, cuidado: bloquear um IP compartilhado, como o de uma CDN ou de um provedor de nuvem, pode derrubar serviços legítimos.
4. Documentação do incidente
Todo relatório de incidente deve listar os IOCs encontrados, com a data e a fonte. Isso ajuda outras equipes e você mesmo no futuro. O Modo de Análise das ferramentas deste site gera um resumo pronto para colar no chamado.
Os limites dos IOCs
- Têm prazo de validade. Um IP malicioso hoje pode ser reatribuído a outra pessoa amanhã. Sempre considere a data da última atividade.
- Geram falsos positivos. Uma detecção isolada não é prova. Leia o guia sobre falsos positivos no VirusTotal e no AbuseIPDB.
- Não pegam ataques novos. Se o atacante usa uma infraestrutura nunca vista, nenhuma base terá o IOC ainda.
Resumo
IOCs são as pistas técnicas de um ataque: IPs, domínios, URLs e hashes. Eles servem para confirmar um incidente, procurar sinais do mesmo ataque em outros sistemas e bloquear novas tentativas. Use-os sempre com contexto, verificando a data, a fonte e o que outras bases dizem antes de tomar uma decisão.