Wat is een IOC (Indicator of Compromise)?
Een IOC (Indicator of Compromise) is een waarneembaar technisch spoor, zoals een hashwaarde, IP-adres, domeinnaam of bestandspad, dat erop wijst dat een systeem of netwerk is of wordt aangevallen. IOC’s ontstaan bij de analyse van een incident of een malware-sample en worden daarna gedeeld, zodat andere organisaties dezelfde aanval in hun eigen omgeving kunnen herkennen. Beveiligingsteams, zoals een CSIRT, CERT of SOC, gebruiken IOC’s om aanvallen te detecteren, verspreiding te stoppen, de oorzaak te achterhalen en getroffen systemen op te schonen. Zowel in IT- als in OT-omgevingen vormen ze de eerste, meest concrete laag van threat intelligence.
🎯 Waarom gebruik je IOC’s?
Een IOC beantwoordt één eenvoudige vraag: heeft deze aanvaller ook bij ons gezeten? Dat maakt IOC’s bruikbaar in elke fase van incidentafhandeling:
- Detectie - automatisch zoeken naar bekende kwade hashes, IP-adressen en domeinen in logboeken, netwerkverkeer en endpoints
- Preventie - kwade adressen en domeinen blokkeren in een firewall, proxy of DNS-filter
- Onderzoek - bij forensisch onderzoek bepalen welke systemen getroffen zijn en sinds wanneer
- Retroactief zoeken - met nieuwe IOC’s terugzoeken in oude logdata, het startpunt van veel threat hunting
- Delen - kennis van één slachtoffer omzetten in bescherming voor een hele sector
De IETF beschreef die rol in augustus 2023 in RFC 9424: IOC’s zijn goedkoop, schaalbaar en ondersteunen meerdere lagen van defense in depth. Juist organisaties met weinig capaciteit hebben er daardoor veel aan.
🧱 Welke soorten IOC’s bestaan er?
IOC’s worden meestal in drie groepen verdeeld: atomaire indicatoren (een enkel gegeven), berekende indicatoren (afgeleid uit data, zoals een hash) en gedragsindicatoren (een combinatie van gebeurtenissen).
| Type IOC | Groep | Voorbeeld |
|---|---|---|
| IP-adres | Atomair | Verkeer naar een verdacht adres (bijv. 198.51.100.42) |
| Domeinnaam / URL | Atomair | Verbinding met malicious-update[.]net |
| Hashwaarde | Berekend | SHA-256 (64 hexadecimale tekens) van een kwaadaardig bestand of script |
| Bestandspad | Atomair | C:\Users\Public\svchost.exe (legitieme naam op een verkeerde plek) |
| Registervermelding | Atomair | Verdachte autorun-sleutel in de Windows Registry |
| E-mailkenmerk | Atomair | Afzender, onderwerp of bijlage van een phishingcampagne |
| Gebruikersgedrag | Gedrag | Inloggen buiten werktijd vanaf een onbekende locatie |
| SCADA/OT-specifiek | Gedrag | Onverwachte wijziging van een setpoint, communicatie met een onbekende PLC |
Domeinnamen worden in rapporten vaak defanged geschreven ([.] in plaats van ., hxxp in plaats van http), zodat niemand per ongeluk op een kwade link
klikt. Het IP-adres in het voorbeeld komt uit een reeks die speciaal voor documentatie is gereserveerd.
🧠 Hoe werkt een IOC in de praktijk?
RFC 9424 beschrijft de levenscyclus van een IOC in zeven stappen: ontdekking, beoordeling, delen, inzetten, detecteren, reageren en end of life. Een IOC zonder context is volgens die RFC weinig waard: u moet weten bij welke aanvaller, campagne en periode het hoort, en hoe zeker de bron is.
Voor uitwisseling en detectie bestaan vaste standaarden en afspraken:
| Standaard | Rol | Kenmerk |
|---|---|---|
| STIX 2.1 | Taal en JSON-formaat voor dreigingsinformatie (OASIS) |
Standaard sinds 10 juni 2021; het object Indicator bevat verplicht een pattern, pattern_type en valid_from
|
| TAXII 2.1 | Protocol om STIX-data via HTTPS uit te wisselen | Collecties waar systemen automatisch nieuwe indicatoren ophalen |
| MISP | Open-source platform om IOC’s op te slaan en te delen | Ontstaan in 2011 bij de Belgische Defensie, ontwikkeling nu geleid door CIRCL (Luxemburg) |
| TLP 2.0 | Afspraak over hoe ver u informatie mag doorgeven | Labels RED, AMBER, AMBER+STRICT, GREEN en CLEAR (FIRST, sinds augustus 2022) |
| YARA / Sigma / Snort | Detectieregels | YARA voor bestanden, Sigma voor logboeken, Snort en Suricata voor netwerkverkeer |
Een STIX-indicator voor een kwaad bestand ziet er bijvoorbeeld zo uit: [file:hashes.'SHA-256' =
'4bac…f877']. Via een geldigheidsdatum (valid_until) kan een IOC automatisch
verlopen. Dat voorkomt dat een SIEM jarenlang alarm
slaat op een IP-adres dat inmiddels aan een onschuldige partij is uitgegeven.
🔄 Hoe verhoudt een IOC zich tot IOA en TTP’s?
Een IOC zegt wat er is achtergebleven; een IOA (Indicator of Attack) zegt wat een aanvaller op dit moment probeert te doen. Het begrip IOA wordt vooral door leveranciers van EDR-oplossingen gebruikt. Daarboven staan de TTP’s: de vaste werkwijze van een aanvaller, zoals vastgelegd in MITRE ATT&CK for ICS.
| Kenmerk | IOC | IOA | TTP |
|---|---|---|---|
| Vraag | Welke sporen zijn er? | Wat gebeurt er nu? | Hoe werkt deze aanvaller? |
| Voorbeeld | Hash van een malwarebestand | Poging tot privilege escalation | Credential dumping en daarna laterale beweging |
| Moment | Vaak achteraf, of als blokkadelijst vooraf | Tijdens de aanval | Over meerdere aanvallen heen |
| Houdbaarheid | Kort: eenvoudig te veranderen | Middel | Lang: moeilijk te veranderen |
De Pyramid of Pain van David Bianco (2013) maakt dat verschil zichtbaar. Een hash verandert al door één bit in het bestand te wijzigen, een IP-adres of domein is snel vervangen, maar een andere werkwijze kost een aanvaller veel moeite. RFC 9424 benadrukt wel dat ook kwetsbare IOC’s niet waardeloos zijn: ze zijn goedkoop in te zetten en dwingen een aanvaller steeds opnieuw tot aanpassingen.
🏭 Hoe zien IOC’s eruit in OT-omgevingen?
In industriële netwerken werken klassieke IOC’s minder goed. Er draait weinig endpointsoftware, veel systemen zijn verouderd en aanvallers gebruiken steeds vaker legitieme tools. Volt Typhoon gebruikt bijvoorbeeld nauwelijks malware en werkt via living off the land, waardoor er weinig hashes of bestanden zijn om op te zoeken. OT-detectie leunt daarom meer op gedrag ten opzichte van een bekende basislijn:
- Verkeer tussen SCADA en onbekende externe IP-adressen
- Een wijziging van een setpoint buiten een geautoriseerde sessie
- Een PLC die al jaren zwijgt en plotseling communiceert, of een nieuwe programmadownload naar een PLC
- Firmware-updates zonder planning of wijzigingsdocumentatie
- Nieuw aangemaakte gebruikers op HMI-systemen of een engineeringstation
- Schrijfopdrachten via Modbus TCP vanaf een adres dat dat nooit eerder deed, het patroon van FrostyGoop (Lviv, januari 2024)
🔧 In combinatie met SIEM, IDS, passieve netwerkmonitoring of tools voor asset-monitoring kunnen IOC’s en afwijkend gedrag automatisch worden gedetecteerd en onderzocht.
Netwerkgerichte IOC’s zijn in OT extra waardevol. RFC 9424 merkt op dat ze apparaten beschermen waarop geen endpointsoftware kan draaien, zoals IoT. Met DNS-monitoring en netwerksensoren aan de rand van de OT-zone controleert u verkeer zonder iets op de PLC’s te installeren.
🔐 Hoe zet u IOC’s verantwoord in?
Een praktische aanpak voor een industriële organisatie in Nederland:
- Kies betrouwbare bronnen - het NCSC, uw sector-ISAC, CERT-WM voor waterschappen, adviezen van CISA en rapporten van OT-securityleveranciers zoals Dragos.
- Automatiseer de invoer - laat IOC’s via TAXII of MISP binnenkomen en koppel ze aan SIEM, firewall en NDR, in plaats van lijsten handmatig over te typen.
-
Geef context en een vervaldatum - leg per IOC de bron, het vertrouwen, het TLP-label en
een
valid_untilvast. - Test eerst passief - in OT nooit direct automatisch blokkeren: een fout-positief op een procesverbinding kan productie stilleggen. Begin met alarmeren.
- Zoek ook terug - bewaar voldoende logdata om nieuwe IOC’s maanden terug te kunnen toetsen.
- Lever IOC’s aan bij een incident - onder NIS2 (artikel 23) bevat de incidentmelding binnen 72 uur waar beschikbaar ook de IOC’s. Dat geldt ook voor de meldplicht van de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is.
IOC’s sluiten zo aan op het incidentresponsproces, dat NIST in april 2025 opnieuw beschreef in SP 800-61 revisie 3.
❓ Veelgestelde vragen
Wat is het verschil tussen een IOC en een IOA?
Een IOC is een spoor dat achterblijft na of tijdens een aanval, zoals een kwade hash of een IP-adres. Een IOA beschrijft het gedrag van een aanvaller dat nog gaande is, zoals een poging om rechten te verhogen. IOA’s helpen eerder in de aanval te detecteren, IOC’s zijn concreter en makkelijker te delen.
Hoe lang blijft een IOC bruikbaar?
Hoe lang een IOC bruikbaar is, hangt af van het type. Hashes en IP-adressen verouderen vaak snel, omdat aanvallers ze eenvoudig vervangen, terwijl gedragsindicatoren en TTP’s veel langer meegaan. Geef elke IOC daarom een geldigheidsdatum en ruim verlopen indicatoren op.
Waar vind ik betrouwbare IOC’s voor OT?
Betrouwbare IOC’s voor OT komen van het NCSC, sectorale ISAC’s, CERT-WM voor de waterschappen, CISA-adviezen en rapporten van gespecialiseerde OT-securitybedrijven. Kies bronnen die context meeleveren, zoals de aanvaller en de periode, en die een TLP-label gebruiken.
Wat is STIX en wat heeft het met IOC’s te maken?
STIX is een gestandaardiseerde JSON-taal van OASIS om dreigingsinformatie uit te wisselen, met versie 2.1 als standaard sinds juni 2021. Een IOC wordt in STIX vastgelegd als Indicator-object met een detectiepatroon en een geldigheidsperiode. Via het protocol TAXII kunnen systemen die indicatoren automatisch ophalen.
Mag ik IOC’s automatisch blokkeren in een OT-netwerk?
Automatisch blokkeren op basis van IOC’s is in een OT-netwerk riskant, omdat een fout-positief een procesverbinding kan verbreken. De gebruikelijke aanpak is eerst alarmeren en beoordelen, en alleen blokkeren aan de rand van de OT-zone, zoals in de DMZ. Binnen de procesnetwerken zelf blijft passieve detectie de norm.
Moet ik IOC’s melden bij een cyberincident?
Ja, onder NIS2 en de Cyberbeveiligingswet hoort u bij de incidentmelding binnen 72 uur, voor zover beschikbaar, ook de IOC’s aan te leveren. Het CSIRT kan die indicatoren dan, met het juiste TLP-label, delen met andere organisaties in de sector.
📌 Samengevat
Een IOC is een concreet technisch spoor, zoals een hash, IP-adres of domein, dat wijst op een mogelijke cyberaanval of inbraak. IOC’s vormen de basis voor detectie, analyse en respons in zowel IT- als OT-omgevingen, maar zijn vluchtig: combineer ze met context, een vervaldatum en gedragsdetectie op basis van TTP’s binnen een defense-in-depth-strategie.