يقرأ ملفاتك
يفتح read_file وgrep وglob نسخ السجلات وiocs.txt في مجلد عمل المحادثة ويبحثان فيها.
المنتج
Indicators of compromise examples التي يبحث عنها الوكيل
01
Indicators of compromise examples سهلة التصور: تجزئة ملف من تقرير، أو عنوان IP في سجل جدار الحماية، أو نطاق في سجل DNS، أو مهمة مجدولة لم تنشئها. كل واحد منها أثر تبحث عنه في سجلاتك. يبحث GoChannel Desk عنها في نسخ من ملفاتك الخاصة ويعرض كل نتيجة في بطاقة.
يشغّل أوامرك
يشغّل Shell أوامر مثل certutil وfindstr ويعرض رمز الخروج الحقيقي؛ وتُحظر الأوامر الخطرة.
يسأل قبل أن يغيّر
يتوقف Ask first قبل أي إجراء يغيّر شيئًا، ويسرد Plan only الخطوات دون تغيير أي شيء.
ما يفعله الوكيل في عمل IOC
- الملفاتيقرأ read_file السجلات، وينشئ write_file ملف iocs.txt، ويعدّله edit_file مع diff، ويجد grep وglob التطابقات داخل مجلد العمل.
- Shellيشغّل أوامرك الخاصة، مثل certutil -hashfile لحساب تجزئة ملف أو findstr للبحث في النص، ويعرض رمز الخروج الحقيقي.
- الويبيقرأ web_search وhttp_get النشرات والتقارير المنشورة عن الحوادث، لتنسخ المؤشرات إلى قائمتك.
- لقطات الشاشة والصوريقرأ ocr النص من لقطة شاشة، مثل جدول مؤشرات نُشر صورةً فقط.
- التنسيقيشغّل task وكلاء فرعيين بالتوازي على مجلدات سجلات منفصلة، ويحفظ skill دليل عمل قابلًا لإعادة الاستخدام، ويرسل run_on_model خطوة صعبة إلى نموذج أكبر.
- أوضاع الموافقةيتصرف Auto-run فورًا، ويتوقف Ask first قبل كل تغيير، ويسرد Plan only عمليات البحث دون تشغيل أي شيء.
- Cronيشغّل طلبًا وفق جدول، مثل بحث أسبوعي في تصدير سجلات جديد نسخته إلى المجلد.
- النماذجاربط مزوّد ذكاء اصطناعي سحابيًا أو نموذجًا على جهازك أو النموذج المدمج، ثم اضغط Test للتحقق من نقطة الاتصال.
النص العادي بداية جيدة للقائمة
يمكن أن تكون indicators of compromise list لديك ملفًا نصيًا عاديًا لكل حادثة، محفوظًا في مجلد. النص العادي يكفي. يعدّله الوكيل مع diff، ولا تذهب الطلبات إلا إلى نقطة اتصال النموذج التي تختارها.
اقرأ incident-note.txt والجدول الموجود في table-screenshot.png، واكتب العناوين والنطاقات وقيم التجزئة في iocs.txt، ورتّب الملف وتحقق من كل قيمة بمقارنتها بالملاحظة.
- read_file
incident-note.txtتمت قراءة الملاحظة - ocr
table-screenshot.pngتمت قراءة النص - write_file
iocs.txtتم الحفظ - edit_file
iocs.txtتم عرض diff - grep
192.0.2.44 in incident-note.txtتطابق واحد
بانتظار موافقتك قبل الخطوة التاليةرفضقبول
مثالان عمليان
من ملاحظات مبعثرة إلى قائمة نظيفة
كثيرًا ما تكون الملاحظات بعد الحادثة حرة الصياغة، لذا يمكن للوكيل أن يعمل كمحلل IOC تقريبي: يفتح read_file الملاحظة، ويجد grep كل ما يشبه عنوانًا أو تجزئة أو نطاقًا، ويحفظ write_file أول iocs.txt. هذه مسودة. وحين يظهر جهاز سلوكًا غير معتاد، يمكن إضافة المؤشرات المجمّعة من سجلاته إلى القائمة نفسها. تحتاج قيم مثل اسم مهمة من حدث Security رقم 4698 أو اسم ملف في مجلد مؤقت إلى عين بشرية، فاطلب من الوكيل إضافة سطر تعليق يذكر مصدر كل قيمة. شغّله في Ask first، واقرأ الـ diff سطرًا بسطر، واحذف كل ما هو مجرد اسم عادي في بيئتك.
افحص القائمة ثم شاركها
شغّل grep على نسخ سجلاتك لكل سطر في iocs.txt ودع write_file يحفظ ملاحظة النتائج بجانبه. وإذا كان فريقك يتبادل مؤشرات IOC للإثراء والمطاردة، فمرّر القائمة المراجعة والمعطّلة فقط، لا السجلات الخام أبدًا. GoChannel Desk ليس نظام إدارة حالات: هو يكتب ملاحظة بالنتائج في مجلدك، أما سجل الحالة الفعلي فيبقى حيث يحفظه فريقك. جرّب الروتين أولًا على قيم توثيقية غير ضارة، مثل النطاق 192.0.2.x، واقرأ كل بطاقة عند ظهورها قبل أن تثق به في حادثة حقيقية.
ما لا يفعله GoChannel Desk
GoChannel Desk تطبيق Windows، وليس خدمة مستضافة ولا إضافة. استخدمه فقط على ملفاتك وجهازك والخوادم المصرّح لك بفحصها، وليس أبدًا على أنظمة أو حسابات أو بيانات لا تملكها. قد تكون النتائج خاطئة. راجع كل نتيجة قبل أن تعتمد عليها.
