Qu’est-ce qu’un IOC ?
Un IOC est un indicateur pouvant aider à reconnaître ou retrouver une activité malveillante : par exemple une adresse IP, un domaine, une URL ou l’empreinte d’un fichier.
Cas d’usage · IOC & artefacts
Un fichier suspect laisse des traces.
SandGuard les transforme en pistes d’investigation.
Domaines, adresses IP, URLs, empreintes, noms de fichiers ou traces système : SandGuard extrait les indicateurs utiles, les classe et les contextualise pour vous aider à comprendre rapidement où regarder ensuite — sans transformer votre fichier en échantillon public.
Extraction automatique
Les traces importantes remontent sans fouiller manuellement tout le rapport.
Contexte immédiat
Les indicateurs sont rapprochés de données de renseignement utiles.
Investigation plus rapide
Classement, filtres et liens de pivot réduisent les manipulations inutiles.
Indicateurs exploitables
12 éléments à vérifier
Les traces ont été regroupées par type et niveau d’intérêt.
4prioritaires
Tous · 12
Réseau · 5
Fichiers · 4
Système · 3
DOMAINE
cdn-update-check[.]com
Suspect
URL
hxxps://.../gate.php
Malveillant
IP
185.***.***.24
À vérifier
SHA256
7f2a...91bd
Connu
Pivot rapide
VTOTXURLhausWHOIS
TI
ContexteRéputation trouvée
→
Pivot1 clic vers l’investigation
Du fichier à la piste d’investigation
01ExtraireFaire ressortir les traces utiles.
02QualifierComprendre lesquelles méritent votre attention.
03PivoterPoursuivre l’enquête sans perdre de temps.
Un fichier ne vit jamais seul
Un malware peut changer de nom. Ses traces permettent souvent de retrouver ce qui l’entoure.
Une adresse IP, un domaine, une URL ou une empreinte peuvent relier un fichier à une infrastructure, une campagne ou d’autres échantillons. L’enjeu n’est donc pas seulement de savoir si le fichier est suspect, mais de récupérer rapidement les éléments qui permettent d’étendre l’investigation.
01 Extraction
Faire ressortir les traces importantes sans chercher aiguille par aiguille.
SandGuard parcourt les éléments analysés et regroupe les indicateurs qui peuvent servir à une investigation. L’objectif n’est pas d’afficher tout ce qui ressemble à une adresse ou à une chaîne de caractères, mais de faire remonter ce qui est réellement exploitable.
Repérer les domaines, adresses IP et URLs présents dans le fichier
Faire ressortir les empreintes et noms de fichiers utiles
Conserver certaines traces système ou techniques lorsqu’elles apportent du contexte
FICHIER ANALYSÉ
invoice_viewer.exe
analyse terminée
Domaineupdate-check[.]com
Adresse IP185.***.***.24
URL/gate.php?id=...
Empreinte7f2a...91bd
Trier pour comprendre
Douze indicateurs ne valent pas douze priorités.
SandGuard classe les indicateurs par famille et fait ressortir ceux qui semblent les plus intéressants. L’analyste peut donc commencer par les éléments les plus utiles au lieu de parcourir une liste brute.
Tous 12
Réseau 5
Fichiers 4
Système 3
01
Domainecdn-update-check[.]com
Prioritaire
02
URLhxxps://.../gate.php
Prioritaire
03
Adresse IP185.***.***.24
À vérifier
04
Empreinte de fichier7f2a...91bd
Contexte
02 Renseignement sur les menaces
Un indicateur isolé dit peu de choses. Son historique peut tout changer.
SandGuard rapproche les IOC extraits de bases de renseignement sur les menaces afin d’apporter du contexte : réputation connue, signalements existants, infrastructure déjà observée ou indicateur encore inconnu.
Votre fichier n’est pas publié.
La recherche de contexte ne transforme pas l’échantillon analysé en fichier public.
INDICATEUR
cdn-update-check[.]com
Réputation
Suspecte
Déjà observé
Oui · plusieurs signalements
Contexte
Infrastructure liée à des téléchargements malveillants
Dernière observation
Contexte disponible
+
Le contexte renforce la décisionSans noyer l’utilisateur dans toutes les données disponibles.
Continuer l’investigation
Le bon indicateur trouvé, passez immédiatement à l’outil qui vous intéresse.
Un lien rapide évite de copier, ouvrir un nouvel onglet, rechercher le bon service puis recoller l’indicateur. SandGuard prépare directement le pivot vers les plateformes de renseignement les plus utiles à votre enquête.
INDICATEUR SÉLECTIONNÉ
185.***.***.24
Adresse IP · à vérifier
→
indicateurs / sélection
6 SÉLECTIONNÉS
DOMAIN
cdn-update-check[.]com✓IP
185.***.***.24✓URL
hxxps://.../gate.php✓HASH
7f2a...91bd✓03 Exploitation
Passer de “j’ai trouvé quelque chose” à “je sais quoi rechercher”.
Les indicateurs triés deviennent immédiatement utilisables pour poursuivre une investigation, enrichir un ticket, rechercher une présence dans vos journaux ou partager les éléments importants avec une autre équipe.
Le but n’est pas de produire davantage de données. Le but est de réduire le temps entre la détection d’un fichier suspect et l’action suivante.
Une lecture pensée pour l’investigation
Le fichier donne le point de départ. Les IOC permettent d’élargir la recherche.
SandGuard organise le passage entre analyse de fichier et investigation : les traces sont extraites, qualifiées, regroupées et rendues faciles à réutiliser sans obliger l’analyste à reconstruire tout le contexte lui-même.
ExtraireDomaines · IP · URLs · empreintes · artefacts
QualifierCatégorie · intérêt · réputation · contexte disponible
AgirFiltrer · copier · exporter · pivoter vers d’autres sources
Confidentialité
Enrichir une investigation sans rendre votre échantillon public.
Les indicateurs peuvent être contextualisés avec des sources de renseignement externes tout en conservant le fichier analysé dans un cadre maîtrisé. Vous profitez du contexte sans publier inutilement votre échantillon.
Passez du fichier aux indicateurs
Vous avez un fichier à investiguer ?
Laissez SandGuard faire ressortir les traces importantes avant de poursuivre vos recherches.
Questions fréquentes
IOC & artefacts avec SandGuard
SandGuard publie-t-il mon fichier pour obtenir du contexte ?
Non. La page est conçue autour d’un enrichissement des indicateurs sans rendre l’échantillon analysé public.
Puis-je poursuivre l’analyse dans d’autres outils ?
Oui. Des liens rapides permettent de pivoter sur un indicateur vers des services externes de renseignement et d’investigation.