Indicateur d’attaques – IoA

• Les indicateurs d’attaque (IOA) sont axés sur la détection de l’intention de ce qu’un attaquant tente d’accomplir, indépendamment du logiciel malveillant ou de l’exploit utilisé dans une attaque. Un IOA est une règle contenant la description d’une activité suspecte dans le système qui pourrait être le signe d’une attaque ciblée.
• Exemples d’IoA :
  • Un nombre important d’accès à un fichier unique
  • Une activité suspecte sur les comptes d’administrateurs ou d’utilisateur privilégié
  • Une mise à jour inattendue de logiciels
  • Un transfert de données sur des ports rarement utilisés
  • Un comportement sur un site Web atypique par rapport à ce que ferait un être humain
  • Un grand nombre de tentatives de connexion infructueuses
  • La communication d’hôtes internes avec des ressources Internet connues pour avoir une mauvaise réputation, ou avec des pays situés en dehors de la plage d’activité de l’entreprise