افتح مجلد العمل
ضع نسخ سجلاتك وملف iocs.txt فارغًا في مجلد عمل المحادثة. لا توجّه الوكيل إلى الأصول أبدًا.
سير العمل
Indicators of compromise tools: بحث عن IOC خطوة بخطوة
03
افحص سجلاتك على ضوء تقرير IOC جديد
يسرد تقرير جديد عناوين ونطاقات وقيم تجزئة، وتريد أن تعرف هل يظهر أي منها في سجلاتك. عند البحث عن IOC فضّل المصادر الموثوقة مثل النشرات المنشورة وتقارير الحوادث وحوادثك السابقة، وتحقق من تاريخ كل مدخل لأن القديمة تفقد قيمتها. انسخ السجلات أولًا. ثم دع الوكيل يحوّل التقرير إلى قائمة، ويبحث في النسخ، ويدوّن كل خيط للتحقيق لتراجعه.
املأ iocs.txt
اطلب من الوكيل قراءة التقرير وكتابة المؤشرات في iocs.txt مع إعادة النص المعطّل إلى صيغته العادية. افحص الـ diff.
ابحث في نسخ السجلات
استخدم Plan only لسرد عمليات البحث دون تشغيلها؛ ويتوقف Ask first قبل أي إجراء يغيّر شيئًا.
افحص النتائج ودوّنها
اقرأ كل تطابق في سياقه عبر read_file، ثم اطلب من الوكيل كتابة ملاحظة نتائج تسرد المؤشر والملف والسطر.
مثال على iocs.txt
ابحث في نسخ السجلات عن كل مؤشر في iocs.txt واذكر كل تطابق مع ملفه وسطره.
- read_file
iocs.txtتمت قراءة القائمة - glob
logs-copy/*.logتم العثور على السجلات - grep
192.0.2.44 in logs-copyتطابقان - read_file
logs-copy/dns.logتمت قراءة السياق
بانتظار موافقتك قبل الخطوة التاليةرفضقبول
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskقائمة نصية عادية: تبدأ أسطر التعليق بعلامة الهاش، وكل سطر آخر هو نوع وقيمة. كل القيم أمثلة توثيقية غير ضارة، وعنوان hxxps معطّل.
احسب تجزئة الملفات واحتفظ بـ indicators of compromise database
احسب تجزئة ملف دون فتحه
أداتان من الأدوات التي تحتاجها موجودتان أصلًا في Windows: certutil وfindstr. انسخ الملف المشبوه إلى مجلد العمل ودع Shell يشغّل certutil -hashfile على النسخة. ويستطيع Shell أيضًا تشغيل أدوات الأدلة الجنائية بسطر الأوامر التي تستخدمها بالفعل، ويعرض رمز الخروج الحقيقي لكل أمر. بعدها يبحث grep في iocs.txt عن القيمة المطبوعة، ويمكن لـ findstr فعل الشيء نفسه في ملف نصي مُصدَّر. التطابق خيط للتحقيق وليس حكمًا. استخدم Plan only لقراءة الأمر قبل تشغيله، ولا تفتح الملف نفسه ولا تشغّله أبدًا.
احتفظ بملف واحد لكل حادثة
يمكن أن تكون قاعدة صغيرة للمؤشرات ملفًا نصيًا عاديًا أو ملف CSV لكل حادثة في مجلد يتشاركه فريقك. كثيرًا ما تضيف النشرات سياقًا عن IOC: أين شوهد في البيئة الحقيقية وما الأساليب التي استخدمها المهاجم معه. اطلب من الوكيل حفظ هذا السياق في سطر تعليق فوق القيمة. استخدم edit_file لترتيب الملف واقرأ الـ diff. الملفات العادية سهلة المراجعة. وفي المرة القادمة ابحث في المجلد كله بـ grep وقارن النتائج بملاحظاتك السابقة قبل أن تقرر ما ستبلغ عنه. يمكن لملاحظة النتائج أن تسرد التطابقات بترتيب زمني، وتتحقق أنت من هذا الترتيب بمقارنته بالسجل.
