Indikátory kompromitace: definice a časté otázky

IOC je důkaz naznačující, že systém mohl být napaden nebo nakažen: hash souboru, IP adresa, název domény, URL, název souboru, klíč registru nebo název plánované úlohy. Shoda znamená vyšetřit. Sama nikdy nepotvrzuje průnik.

Jsou to stopy, které ransomware zanechá na systému, který patří tobě: textové soubory s výkupným objevující se v mnoha složkách, mnoho souborů s novou příponou během krátké doby a mazané zálohy nebo stínové kopie. Každou ber jako naléhavou a postupuj podle plánu reakce na incidenty.

Čtyři běžné zdroje: varování a zprávy o incidentech, tvoje vlastní dřívější incidenty, formáty pro sdílení hrozeb jako STIX a poznámky vložené do textového souboru. Na datech záleží. Pro vyhledávání hrozeb dávej přednost spolehlivým zdrojům IOC a u každého záznamu kontroluj datum, protože adresy a domény rychle zastarávají.

IOC říká, že byl pozorován artefakt, například hash nebo doména, kdežto indikátor útoku popisuje chování, například program spuštěný v neobvyklou dobu. Hashe se mění při každém novém sestavení. Pyramid of Pain řadí indikátory podle toho, jak těžké je pro útočníka je změnit.

Ano, gocodesy.com je oficiální web GoChannel Desk. Stáhni originální verzi z tohoto webu a před spuštěním porovnej její kontrolní součet SHA-256 s publikovaným manifestem. Vynechat tento krok je chyba. Dotazy posílej tlačítkem Send feedback v aplikaci.

Ne. Hledání ukáže jen to, co je v logách a seznamu, které mu dáš, takže před potvrzením musíš přečíst každou shodu v kontextu a každý diff. Výsledky mohou něco minout. Hledání bez nálezu nikdy neprokazuje, že je systém čistý, a GoChannel Desk neslibuje úplné výsledky.

Ano, na logách a souborech, které patří tobě nebo které smíš zkoumat. Používej jen kopie. Můžeš přehrát dřívější incident nebo logy laboratorního počítače jako malou případovou studii z digitální forenzní analýzy, zatímco agent hledá a píše poznámky a závěry děláš ty.

Ne. Specialista rozhoduje, co shoda znamená, zajišťuje důkazy a mluví s tvým bezpečnostním týmem. GoChannel Desk jen spouští hledání a připravuje poznámky, které pak člověk zkontroluje. Nezjišťuje hrozby v reálném čase a není zdrojem informací o hrozbách.

Tři možnosti: poskytovatel AI v cloudu přes standardní koncový bod API, model spuštěný na vlastním počítači nebo vestavěný model. Logy obsahují osobní údaje, například IP adresy a uživatelská jména, takže je lokální model nechá na stroji, kdežto cloudový model dostane to, co agent odešle.

Ano, pokud zvolíš cloudový model: řádky logů, které agent vloží do promptu, se odešlou na ten koncový bod. U lokálního modelu z počítače nic neodchází. Chaty, pracovní složky a klíče API zůstávají v počítači a tajné údaje ve výstupu nástrojů se před předáním modelu začerní. Žádná telemetrie neexistuje.

Dva kroky. Stáhni instalátor o velikosti přibližně 34 MB, spusť na něm certutil -hashfile a porovnej hodnotu SHA-256 s publikovaným manifestem. Existuje také přenosný samostatný soubor .exe o velikosti přibližně 25 MB. Windows SmartScreen může varovat, protože instalátor zatím není podepsaný, pokračuj proto až po shodě hodnot.