- Betekenis
- Technische sporen van een aanval
- Voorbeelden
- IP-adressen, bestandshashes, verdachte domeinen
- Nut
- Aanvallen herkennen en afbakenen
- Gerelateerd
- Incidentrespons, kwetsbaarheden
- Bijgewerkt
- juni 2026
- Redactie
- Compliance Compass
Wat zijn IoC's?
Indicators of Compromise (compromitteringsindicatoren) zijn concrete, technische sporen die erop wijzen dat een systeem is aangevallen of al geïnfiltreerd. Zij vormen het forensische bewijsmateriaal van de cyberverdediging: meetbare artefacten die een beveiligingsteam kan vinden in logbestanden, in het netwerkverkeer of op eindapparaten. Anders dan een enkel vermoeden zijn IoC's toetsbaar – ze kunnen in detectiesystemen worden ingevoerd en geautomatiseerd worden vergeleken om een incident te bevestigen of uit te sluiten.
Typische IoC's
- Verdachte IP-adressen en domeinen waarmee malware communiceert
- Bestandshashes (bijv. SHA-256) van bekende malware
- Ongebruikelijke inlog-, aanmeld- of netwerkpatronen
- Opvallende registerwijzigingen of onbekende draaiende processen
IoC's en incidentrespons
IoC's zijn een centraal instrument van de incidentrespons: aan de hand van bekende indicatoren is te toetsen of er een incident speelt, welke systemen zijn geraakt en hoe ver een aanval al gevorderd is. In de detectiefase leveren ze het eerste signaal, in de analysefase helpen ze de omvang te bepalen. Belangrijk is om IoC's actueel te houden, want aanvallers wisselen snel van infrastructuur en gereedschap.
Uitwisseling versterkt iedereen
Worden IoC's gedeeld – bijvoorbeeld via CSIRT's of branchebrede netwerken – dan kunnen andere organisaties dezelfde aanval eerder herkennen en afweren. Die gecoördineerde informatie-uitwisseling is een belangrijke gedachte achter NIS2, dat de samenwerking tussen entiteiten en autoriteiten bevordert; in Nederland is het NCSC het CSIRT en geldt de Cyberbeveiligingswet (Cbw) sinds 15 augustus 2026. Een typisch geval: een gemeentelijk nutsbedrijf ontvangt van zijn CSIRT een waarschuwing met de IP-adressen en bestandshashes van een nieuwe ransomwaregolf; het SOC voert die IoC's meteen in zijn firewall en EDR-oplossing in en ontdekt zo een al lopende, tot dan toe onopgemerkte verbinding – nog voordat de versleuteling begint.
Meer informatie: ENISA – EU-agentschap voor cyberbeveiliging (Threat Landscape)
Veelgestelde vragen
Wat zijn Indicators of Compromise?
Indicators of Compromise (IoC's) zijn concrete, technische sporen die erop wijzen dat een systeem is aangevallen of al geïnfiltreerd – bijvoorbeeld verdachte IP-adressen, domeinen die met malware in verbinding staan, bestandshashes van bekende malware (zoals SHA-256) of ongebruikelijke inlog- en netwerkpatronen. Anders dan een vermoeden zijn IoC's toetsbaar: ze kunnen in detectiesystemen worden ingevoerd en geautomatiseerd worden vergeleken.
Waarvoor dienen Indicators of Compromise?
Indicators of Compromise (IoC's) helpen beveiligingsteams om lopende of eerdere aanvallen te herkennen, geraakte systemen snel te identificeren en af te bakenen en de verdediging gericht te verbeteren met passende detectieregels. Ze zijn een centraal instrument van de incidentrespons: in de detectiefase leveren IoC's het eerste signaal, in de analysefase helpen ze de omvang van een incident te bepalen.
Waarom zou u Indicators of Compromise delen?
Gedeelde Indicators of Compromise (IoC's) stellen andere organisaties in staat dezelfde aanval eerder te herkennen en af te weren, voordat er schade ontstaat. Die gecoördineerde informatie-uitwisseling – vaak via CSIRT's of branchebrede netwerken – is een belangrijke gedachte achter NIS2, dat de samenwerking tussen entiteiten en autoriteiten bevordert. In Nederland is het NCSC het CSIRT; de Cyberbeveiligingswet (Cbw), Stb. 2026, 187, geldt sinds 15 augustus 2026. Zo versterken IoC's de collectieve cyberweerbaarheid.