wskaźnik kompromitacji (IoC)

Wskaźnik kompromitacji (indicator of compromise, IoC) to techniczny ślad, który wskazuje, że atak trwa albo że do naruszenia już doszło. RFC 9424 opisuje wskaźniki kompromitacji jako obserwowalne artefakty związane z atakującym lub jego działaniami, w tym z jego taktykami, technikami, procedurami, narzędziami i infrastrukturą ^[1]. NIST definiuje wskaźnik jako artefakt techniczny lub obserwację sugerującą, że atak jest bliski, trwa albo że kompromitacja mogła już nastąpić ^[2]. Typowe IoC to skrót pliku, adres IP, nazwa domeny, nazwa konta albo wpis w logu.

Jak działa

Wskaźnik kompromitacji ma sens dopiero wtedy, gdy ktoś go szuka. RFC 9424 opisuje jego cykl życia w siedmiu etapach: odkrycie, ocena jakości, udostępnienie, wdrożenie w narzędziach ochrony, wykrywanie, reakcja i wycofanie, gdy wskaźnik przestaje być aktualny ^[1]. Reakcją może być samo zapisanie zdarzenia, alarm albo blokada ^[1]. Cykl ilustruje schemat poniżej.

RYS. 1Cykl życia wskaźnika kompromitacji

Wskaźniki pochodzą z analizy incydentów, raportów badaczy i źródeł threat intelligence. Trafiają do systemów SIEM (Security Information and Event Management), EDR (Endpoint Detection and Response) i XDR (Extended Detection and Response), do zapór i skanerów. CISA zaleca, by wskaźniki i gotowe kanały z informacjami o zagrożeniach zasilały SIEM i inne narzędzia obronne, które mają rozpoznawać i blokować znane złośliwe działania ^[3]. Wymiana odbywa się w ustandaryzowanych formatach; RFC 9424 wymienia wśród nich STIX, MISP, OpenIOC i IODEF ^[1], zob. STIX/TAXII.

Rodzaje

CISA dzieli wskaźniki zagrożeń na trzy grupy ^[3]. RFC 9424 porządkuje je z kolei w „piramidę bólu”: im wyżej, tym trudniej atakującemu zmienić dany element swojego działania ^[1].

Najniżej w piramidzie leżą skróty plików, a dalej adresy IP i nazwy domen ^[1]. Skrót, czyli wynik funkcji skrótu, jest bardzo precyzyjny, ale kruchy: wystarczy drobna zmiana, na przykład ponowna kompilacja, aby przestał pasować ^[1]. Na szczycie są taktyki, techniki i procedury (TTP), które RFC opisuje jako bardzo bolesne dla atakującego do zmiany ^[1]. CISA zaleca dlatego, by tam, gdzie to możliwe, wykrywać działania po wzorcach zachowań, a nie tylko po pojedynczych adresach ^[3].

W WordPressie

Dokumentacja WordPressa używa tego pojęcia wprost. Zaleca, by przed prośbą o pomoc na forum ustalić konkretne objawy włamania, nazywane wskaźnikami kompromitacji ^[4]. Wśród wyraźnych oznak wymienia:

• wpis witryny na czarną listę Google lub Bing (wpis na czarną listę (blacklisting));
• wyłączenie strony przez firmę hostingową;
• oznaczenie witryny jako rozsyłającej złośliwe oprogramowanie;
• ostrzeżenia antywirusów u odwiedzających;
• działania, na które nikt nie wyraził zgody, na przykład tworzenie nowych użytkowników ^[4].

Ostatni objaw odpowiada hasłu nieautoryzowane konto administratora. Ta sama strona dokumentacji wskazuje pliki, które warto sprawdzić przy czyszczeniu: plik .htaccess, bo jest często modyfikowany niezależnie od rodzaju infekcji, oraz index.php, header.php, footer.php i plik funkcji motywu, ponieważ zmiana w nich wpływa na każde żądanie ^[4]. Obcy plik PHP w katalogu uploads, na przykład webshell, jest typowym wskaźnikiem na poziomie hosta.

Zmiany w plikach wykrywa monitorowanie integralności plików. W systemie Wazuh moduł FIM porównuje sumę kontrolną pliku z wcześniej zapisanym stanem odniesienia i zgłasza alarm przy niezgodności ^[8]. Z włączoną opcją who-data zapisuje też, kiedy nastąpiła zmiana, kto jej dokonał i co zmieniono ^[8]. Przykładowa konfiguracja obronna obejmująca katalog wp-content:

<syscheck>
  <directories realtime="yes" report_changes="yes">/var/www/example.com/wp-content</directories>
</syscheck>

Znaczenie

Wskaźnik kompromitacji łączy wykrywanie z reagowaniem na incydenty. Podręcznik CISA opisuje, że w toku analizy incydentu mogą pojawić się nowe wskaźniki i TTP, które wracają do narzędzi wykrywania i pozwalają ustalić zasięg zdarzenia ^[3]. Sygnatury oparte na wskaźnikach podnoszą koszt działania przeciwnika, ale ten może wprowadzić nowe narzędzia albo zmodyfikować dotychczasowe, aby je ominąć ^[3].

Wskaźniki mają też znaczenie prawne. Dyrektywa NIS2 w art. 23 ust. 4 lit. b wymaga, by zgłoszenie poważnego incydentu, składane w ciągu 72 godzin, zawierało w stosownych przypadkach wstępną ocenę incydentu, a także „wskaźniki integralności systemu” ^[7]. Tak polski tekst oddaje angielskie „indicators of compromise” ^[7].

Dobre praktyki

• Oceniać jakość i wiek wskaźnika przed wdrożeniem; nieaktualny wskaźnik wycofywać ^[1]. Stary adres IP może dziś należeć do kogoś niewinnego, co prowadzi do fałszywych alarmów.
• Łączyć wskaźniki atomowe z wykrywaniem zachowań, bo same adresy i domeny szybko tracą wartość ^[3].
• Przed czyszczeniem przejętej strony udokumentować objawy i czas ich zauważenia; dokumentacja WordPressa nazywa to podstawą raportu z incydentu ^[4].
• Sprawdzać logi pod kątem wskaźników publikowanych przez CSIRT i zgłaszać trafienia.

Historia i przykłady

CERT Polska regularnie publikuje wskaźniki kompromitacji w komunikatach i raportach. W raporcie z 30 stycznia 2026 roku o ataku z 29 grudnia 2025 roku na obiekty sektora energii zespół udostępnił wskaźniki kompromitacji oraz opis technik, taktyk i procedur atakującego ^[6]. Celem było umożliwienie organizacjom sprawdzenia logów i zgłoszenia trafień do właściwego zespołu CSIRT ^[6].

We wrześniu 2026 roku, opisując aktywnie wykorzystywane podatności w MikroTik RouterOS, CERT Polska wskazał, że dodatkowym wskaźnikiem kompromitacji jest obecność wysoce uprzywilejowanego użytkownika o nazwie „ops” ^[5]. To przykład wskaźnika na poziomie konfiguracji urządzenia, a nie pliku czy adresu sieciowego.