IOC (Indicator of Compromise)

Definisi

Indicator of Compromise (IOC) adalah artefak residual yang menunjukkan bahwa suatu sistem telah disusupi oleh aktor ancaman. IOC merupakan bukti forensik yang dapat diamati - jejak digital yang ditinggalkan oleh adversary selama fase intrusi, mulai dari eksploitasi awal hingga eksfiltrasi data. IOC menjadi fondasi dalam deteksi ancaman berbasis signature karena sifatnya yang spesifik, terukur, dan dapat diotomatisasi.

Jenis IOC

IOC hadir dalam berbagai bentuk tergantung pada tahapan serangan dan jenis interaksi dengan sistem korban:

• Hash (MD5/SHA1/SHA256) - fingerprint unik dari file berbahaya. Cocok untuk mendeteksi malware yang sudah diketahui persis. Namun mudah dihindari attacker dengan mengubah satu byte pun dari file.
• IP Address - alamat sumber C2 (Command & Control), drop zone, atau scanner. Mudah berubah karena attacker sering menggunakan IP burner, CDN, atau Tor.
• Domain / FQDN - nama domain yang digunakan untuk C2, phishing, atau payload hosting. Misalnya domain yang menyerupai situs legitimasi (typosquatting).
• URL - path spesifik ke halaman phishing, exploit kit landing page, atau endpoint C2. Lebih granular dari domain.
• Registry Key - kunci Windows Registry yang dibuat/dimodifikasi oleh malware untuk persistensi, misalnya HKCU\Software\Microsoft\Windows\CurrentVersion\Run.
• File Path - lokasi spesifik tempat malware menginstal diri, seperti C:\Users\<user>\AppData\Roaming\<malware>.exe.
• Network Pattern - kombinasi port, protokol, dan banner yang mencurigakan.
• Email Artifact - alamat pengirim, subject, atau attachment dari kampanye phishing.

IOC Lifecycle

Siklus hidup IOC terdiri dari beberapa fase:

1. Discovery - IOC ditemukan melalui analisis forensik, reverse engineering malware, atau threat hunting.
2. Enrichment - IOC diperkaya dengan konteks tambahan: jenis ancaman, keluarga malware, timestamp, dan relasi dengan IOC lain.
3. Sharing - IOC didistribusikan ke platform threat intelligence dan alat deteksi (SIEM, IDS/IPS, EDR).
4. Detection - IOC digunakan dalam aturan deteksi untuk memicu alert saat indikator terpenuhi.
5. Validation - Validasi false positive/negative dan koreksi aturan.
6. Retirement - IOC dihapus atau dinonaktifkan saat sudah tidak relevan (kadaluwarsa, IP sudah direassign, domain sudah di-take down).

Sumber IOC

Beberapa platform utama penyedia IOC:

IOC Formats

Agar IOC dapat dipertukarkan antar platform, digunakan format standar:

• STIX (Structured Threat Information Expression) - Format JSON berbasis standar OASIS. Sangat ekspresif, mendukung relasi antar objek (indicator, campaign, threat-actor). Digunakan di TAXII untuk transportasi.
• OpenIOC - Format XML dari Mandiant. Memungkinkan logika boolean kompleks (AND, OR, parent). Terintegrasi dengan FireEye/HX.
• MISP Event - Format JSON khusus MISP yang menyimpan IOC beserta korelasi, feed, dan tagging.

False Positive Management

IOC rentan terhadap false positive. Contoh: alamat IP publik legitimate yang sebelumnya digunakan C2 lalu dipindahkan ke organisasi lain. Strategi mitigasi meliputi:

• Whitelisting IOC dari sumber tepercaya
• Time-to-live (TTL) otomatis untuk IOC dinamis
• Validasi berbasis konteks - tidak cukup satu IOC, perlu korelasi multivariat
• Feedback loop dari analyst ke platform MISP/TheHive

Automation

Otomatisasi IOC sangat penting untuk respons cepat. Stack yang umum digunakan:

• MISP sebagai repositori dan korelasi IOC pusat
• TheHive sebagai platform SOAR/SIEM ringan untuk case management
• Cortex sebagai engine analyzer yang memperkaya IOC secara otomatis (misal cek VirusTotal, PassiveTotal, URLhaus lewat API)

Ketiga alat ini membentuk pipeline: MISP -> TheHive -> Cortex yang memungkinkan enrichment, alerting, dan response secara otomatis tanpa intervensi manual analyst.