Čte tvoje soubory
read_file, grep a glob otevírají a prohledávají kopie logů a iocs.txt v pracovní složce chatu.
Produkt
Příklady indikátorů kompromitace, které agent umí hledat
01
Příklady indikátorů kompromitace se snadno představí: hash souboru z hlášení, IP adresa v logu firewallu, doména v logu DNS nebo plánovaná úloha, o které nevíš. Každý z nich je stopa, kterou hledáš ve svých logách. GoChannel Desk je hledá v kopiích tvých vlastních souborů a každý výsledek ukáže jako kartu.
Spouští tvoje příkazy
Shell spouští příkazy jako certutil a findstr a hlásí skutečný návratový kód; nebezpečné příkazy jsou blokovány.
Ptá se před změnou
Ask first se zastaví před každou akcí, která něco mění, a Plan only vypíše kroky a nic nemění.
Co agent dělá při práci s IOC
- Souboryread_file čte logy, write_file vytváří iocs.txt, edit_file ho mění s diffem a grep a glob najdou shody v pracovní složce.
- Shellspouští tvoje vlastní příkazy, třeba certutil -hashfile pro výpočet hashe souboru nebo findstr pro hledání v textu, a hlásí skutečný návratový kód.
- Webweb_search a http_get čtou publikovaná varování a zprávy o incidentech, takže indikátory můžeš opsat do vlastního seznamu.
- Snímky obrazovky a obrázkyocr čte text ze snímku obrazovky, například tabulku indikátorů zveřejněnou jen jako obrázek.
- Orchestracetask spouští paralelní sub-agenty nad oddělenými složkami s logy, skill uchovává opakovaně použitelný postup a run_on_model pošle těžký krok většímu modelu.
- Režimy schvalováníAuto-run jedná hned, Ask first se zastaví před každou změnou a Plan only vypíše hledání, aniž by cokoli spustil.
- Cronspouští prompt podle plánu, například týdenní hledání v čerstvém exportu logů, zkopírovaný do složky.
- Modelypřipoj poskytovatele AI v cloudu, model na vlastním počítači nebo vestavěný model a stiskem Test ověř koncový bod.
Prostý text je dobrý začátek pro seznam
Seznam indikátorů kompromitace může být prostý textový soubor na jeden incident, uložený ve složce. Prostý text stačí. Agent ho upravuje s diffy a prompty jdou jen na koncový bod modelu, který zvolíš.
Přečti incident-note.txt a tabulku v table-screenshot.png, zapiš adresy, domény a hashe do iocs.txt, soubor ukliď a každou hodnotu ověř podle poznámky.
- read_file
incident-note.txtpoznámka přečtena - ocr
table-screenshot.pngtext přečten - write_file
iocs.txtuloženo - edit_file
iocs.txtdiff zobrazen - grep
192.0.2.44 in incident-note.txt1 shoda
Čeká na tvoje OK před dalším krokemOdmítnoutPřijmout
Dva rozepsané příklady
Z chaotických poznámek na čistý seznam
Po incidentu bývají poznámky volného tvaru, takže agent může sloužit jako hrubý parser IOC: read_file otevře poznámku, grep najde vše, co vypadá jako adresa, hash nebo doména, a write_file uloží první iocs.txt. Je to koncept. Když se zařízení chová podivně, indikátory sesbírané z jeho logů mohou jít do stejného seznamu. Hodnoty jako název úlohy z bezpečnostní události 4698 nebo název souboru v dočasné složce potřebují lidské oko, takže řekni agentovi, ať přidá řádek komentáře s původem každé hodnoty. Spusť to v režimu Ask first, čti diff řádek po řádku a odstraň vše, co je ve tvém prostředí jen běžný název.
Zkontroluj seznam a pak ho sdílej
Spusť grep nad kopiemi svých logů pro každý řádek iocs.txt a nech write_file uložit vedle poznámku s nálezy. Pokud váš tým sdílí IOC kvůli obohacení a vyhledávání hrozeb, předávej jen zkontrolovaný a «defanged» seznam, nikdy surové logy. GoChannel Desk není systém pro správu případů: zapíše poznámku s nálezy do tvé složky a skutečný záznam případu zůstává tam, kde ho tým vede. Rutinu nejdřív vyzkoušej na neškodných hodnotách z dokumentace, například z rozsahu 192.0.2.x, a čti každou kartu, jakmile se objeví, než jí u skutečného incidentu uvěříš.
Co GoChannel Desk nedělá
GoChannel Desk je aplikace pro Windows, ne hostovaná služba ani plugin. Používej ho jen na vlastní soubory, svůj počítač a servery, které smíš zkoumat, a nikdy na systémy, účty ani data, která ti nepatří. Výsledky mohou být chybné. Každý výsledek zkontroluj, než se na něj spolehneš.
