侵害指標（IOC）とは

先に結論

IOCは証拠であり、断定ではありません。既知の悪意のある活動に関連付けられた具体的なアーティファクト（アドレス、ドメイン、URL、ハッシュ）です。収集と関連付けの開始に使用し、単一の検索結果だけで判断させることは決してしないでください。

概要

侵害指標（IOC）とは、悪意のある活動または不審な活動に関連して観測された技術的アーティファクトのことです。指標は脅威インテリジェンスの最小構成要素であり、防御側は自社のログやテレメトリを、攻撃、マルウェアファミリー、アクター、キャンペーンについて判明している情報と照合できます。

IOCの種類

OpenTrojanが扱う一般的な指標は以下のとおりです。

• IPv4 / IPレンジ — コマンド&コントロールサーバー、スキャナー、ホスティング基盤。
• ドメイン — フィッシングページ、ペイロード配信、類似ドメイン登録。
• URL — 正確なフィッシングまたはダウンロードリンク（最も具体的でノイズが少ない）。
• ファイルハッシュ — 既知のマルウェアサンプルのMD5 / SHA-1 / SHA-256。
• メール識別子 — 送信者アドレス、件名、エンベロープメタデータ。
• その他のアーティファクト — TLS証明書、User-Agent、暗号通貨ウォレットアドレス、YARAルール。

具体性が重要です。正確なハッシュは、共有ホスティングのIPよりもはるかにノイズが少ないです。

IOCが重要な理由

IOCはインテリジェンスを行動に変換します。確認されたキャンペーンで観測されたドメインがあればプロキシログとメールログを検索でき、ハッシュがあればエンドポイント群を検索でき、IPがあればファイアウォールとDNSレコードを確認できます。指標がなければ、インテリジェンスは抽象的なままです。

IOCのライフサイクル

1. 収集 — サンプル、フィッシングキット、キャンペーン報告書、インシデントからアーティファクトを取得する。
2. 正規化 — 正規形式に変換する（小文字のドメイン、デファングされたURL）。
3. エンリッチメント — 指標をマルウェアファミリー、アクター、キャンペーン、CVEなどのエンティティに関連付ける。
4. 照合 — テレメトリや他のレコードと比較する。
5. 判断 — 一致だけでなく証拠に基づいて判断する。

レコードがある（またはない）ことの意味

• 一致: そのアーティファクトは以前に観測されており、関連エンティティにリンクしています。侵入の証明ではなく、出発点です。
• 記録なし: カバレッジの表明にすぎません。新しい指標やニッチな指標は未知の可能性があります。証拠がないことは安全の証拠ではありません。

詳細な読み解き方はIOC検索結果の解釈方法を参照してください。

調査方法

1. IOC検索ツールで指標を正規化しデファングする。
2. 指標がハッシュの場合は、ハッシュチェッカーでハッシュタイプを確認する。
3. 自社のログ（プロキシ、DNS、メール、エンドポイント）と関連付ける。
4. 調査に証拠を記録し、少なくとも2つの独立したシグナルで判断する。

関連コンセプト

• フィッシングとは — フィッシングは新しいIOCの主要な発生源です。
• 脅威検知 — 検知における指標の位置づけ。
• IOC検索結果の解釈方法 — 一致結果の正しい読み方。
• 指標の分析 — 検索前の指標タイプの理解。

次のステップ

• 出所（どのソースか、いつ観測されたか、どの程度の信頼度か）を常に記録する。
• 単一のヒットは手がかりとして扱い、関連付けがあって初めてエスカレーションする。
• 定期的に再確認する。インフラが変わると指標は陳腐化するためです。