Otevři pracovní složku
Dej kopie svých logů a prázdný iocs.txt do pracovní složky chatu. Nikdy agenta nesměřuj na originály.
Postupy
Nástroje pro indikátory kompromitace: hledání IOC krok za krokem
03
Zkontroluj své logy podle nového hlášení o IOC
Nové hlášení uvádí adresy, domény a hashe a ty chceš vědět, jestli se některé objevují ve tvých logách. Při hledání IOC dávej přednost spolehlivým zdrojům, jako jsou publikovaná varování, zprávy o incidentech a tvoje vlastní dřívější incidenty, a u každého záznamu zkontroluj datum, protože staré záznamy zastarávají. Nejdřív zkopíruj logy. Pak nech agenta změnit hlášení na seznam, prohledat kopie a zapsat každou stopu ke kontrole.
Vyplň iocs.txt
Požádej agenta, ať přečte hlášení a zapíše indikátory do iocs.txt a obnoví «defanged» text. Zkontroluj diff.
Prohledej kopie logů
Plan only vypíše hledání bez jejich spuštění; Ask first se zastaví před každou akcí, která něco mění.
Zkontroluj a zapiš výsledky
Každou shodu si přečti v kontextu přes read_file a pak nech agenta napsat poznámku s indikátorem, souborem a řádkem.
Ukázka iocs.txt
Prohledej kopie logů na každý indikátor z iocs.txt a vypiš každou shodu se souborem a řádkem.
- read_file
iocs.txtseznam načten - glob
logs-copy/*.loglogy nalezeny - grep
192.0.2.44 in logs-copy2 shody - read_file
logs-copy/dns.logkontext načten
Čeká na tvoje OK před dalším krokemOdmítnoutPřijmout
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskSeznam v prostém textu: řádky komentářů začínají křížkem a každý další řádek je typ a hodnota. Všechny hodnoty jsou neškodné příklady z dokumentace a adresa hxxps je «defanged».
Počítej hashe souborů a veď databázi indikátorů kompromitace
Spočítej hash souboru bez jeho otevření
Dva z nástrojů pro indikátory kompromitace, které potřebuješ, už jsou součástí Windows: certutil a findstr. Zkopíruj podezřelý soubor do pracovní složky a nech Shell spustit certutil -hashfile na kopii. Shell umí spouštět i forenzní nástroje z příkazového řádku, které už používáš, a hlásí skutečný návratový kód každého příkazu. Potom grep hledá v iocs.txt vypsanou hodnotu a findstr totéž udělá v textovém exportu. Shoda je stopa, nikdy verdikt. Použij Plan only a příkaz si přečti před spuštěním, a samotný soubor nikdy neotvírej ani nespouštěj.
Veď jeden soubor na incident
Malá databáze indikátorů kompromitace může být jeden prostý textový nebo CSV soubor na incident ve složce, kterou tým sdílí. Varování často přidávají kontext k IOC: kde byl vidět v praxi a jaké metody s ním útočník použil. Nech agenta uložit tento kontext jako řádek komentáře nad hodnotou. K úklidu souboru použij edit_file a přečti diff. Jednoduché soubory se snadno kontrolují. Příště prohledej celou složku přes grep a porovnej zásahy s dřívějšími poznámkami, než rozhodneš, co nahlásit. Poznámka s nálezy může zásahy řadit podle času a pořadí si ověříš v logu.
