Indicateurs de compromission : définition et questions courantes

Un IOC est un élément de preuve qui laisse penser qu’un système a pu être piraté ou infecté : une empreinte de fichier, une adresse IP, un nom de domaine, une URL, un nom de fichier, une clé de registre ou un nom de tâche planifiée. Une correspondance veut dire « à investiguer ». Elle ne confirme jamais une intrusion à elle seule.

Ce sont les traces qu’un ransomware laisse sur un système qui t’appartient : des fichiers texte de demande de rançon qui apparaissent dans de nombreux dossiers, beaucoup de fichiers renommés avec une nouvelle extension en peu de temps, et des sauvegardes ou des clichés instantanés supprimés. Traite chacun comme urgent et suis ton plan de réponse aux incidents.

Quatre sources courantes : les bulletins et les rapports d’incident, tes incidents passés, les formats de partage de menaces comme STIX, et les notes collées dans un fichier texte. Les dates comptent. Privilégie des sources d’IOC fiables pour la recherche de menaces et vérifie la date de chaque entrée, car les adresses et les domaines deviennent vite périmés.

Un IOC indique qu’un artefact a été observé, comme une empreinte ou un domaine, alors qu’un indicateur d’attaque décrit un comportement, comme un programme qui démarre à une heure inhabituelle. Les empreintes changent à chaque recompilation. La Pyramid of Pain classe les indicateurs selon la difficulté qu’a un attaquant à les modifier.

Oui, gocodesy.com est le site officiel de GoChannel Desk. Télécharge la version d’origine depuis ce site et compare sa somme de contrôle SHA-256 avec le manifeste publié avant de l’exécuter. Sauter cette étape est une erreur. Les questions passent par le bouton Send feedback dans l’application.

Non. Une recherche montre seulement ce qui figure dans les logs et dans la liste que tu lui donnes : tu dois donc lire chaque correspondance dans son contexte et chaque diff avant d’accepter. Les résultats peuvent passer à côté de choses. Une recherche vide ne prouve jamais qu’un système est sain, et GoChannel Desk ne promet pas des résultats complets.

Oui, sur des logs et des fichiers qui t’appartiennent ou que tu as le droit d’examiner. Utilise uniquement des copies. Tu peux rejouer un ancien incident ou les logs d’un PC de labo comme un petit cas d’étude d’investigation numérique, pendant que l’agent cherche et rédige des notes et que tu tires les conclusions.

Non. Un professionnel décide de ce que signifie une correspondance, préserve les preuves et parle à ton équipe de sécurité. GoChannel Desk se contente de lancer des recherches et de rédiger des notes qu’une personne vérifie ensuite. Il ne détecte pas les menaces en temps réel et n’est pas un flux de renseignement sur les menaces.

Trois options : un fournisseur d’IA cloud via un point d’accès d’API standard, un modèle exécuté sur ton propre PC, ou le modèle intégré. Les logs contiennent des données personnelles comme des adresses IP et des noms d’utilisateur : un modèle local les garde sur la machine, alors qu’un modèle cloud reçoit ce que l’agent envoie.

Oui, si tu choisis un modèle cloud : les lignes de logs que l’agent place dans un prompt sont envoyées à ce point d’accès. Avec un modèle local, rien ne quitte la machine. Les chats, les dossiers de travail et les clés d’API restent sur le PC, et les secrets présents dans la sortie des outils sont masqués avant d’atteindre le modèle. Il n’y a aucune télémétrie.

Deux étapes. Télécharge l’installateur, d’environ 34 Mo, puis lance certutil -hashfile dessus et compare la valeur SHA-256 avec le manifeste publié. Il existe aussi un unique .exe portable d’environ 25 Mo. Windows SmartScreen peut afficher un avertissement car l’installateur n’est pas encore signé, alors continue seulement une fois les valeurs identiques.