Liest deine Dateien
read_file, grep und glob öffnen und durchsuchen die Log-Kopien und iocs.txt im Arbeitsordner des Chats.
Produkt
Beispiele für Kompromittierungsindikatoren, die der Agent suchen kann
01
Beispiele für Kompromittierungsindikatoren sind leicht vorstellbar: ein Datei-Hash aus einem Bericht, eine IP-Adresse in einem Firewall-Log, eine Domain in einem DNS-Log oder eine geplante Aufgabe, die du nie angelegt hast. Jeder davon ist eine Spur, die du in deinen Logs suchst. GoChannel Desk sucht sie in Kopien deiner eigenen Dateien und zeigt jedes Ergebnis als Karte.
Führt deine Befehle aus
Shell führt Befehle wie certutil und findstr aus und meldet den echten Exit-Code; gefährliche Befehle werden blockiert.
Fragt vor Änderungen
Ask first pausiert vor jeder Aktion, die etwas ändert, und Plan only listet die Schritte auf und ändert nichts.
Was der Agent bei der IOC-Arbeit macht
- Dateienread_file liest Logs, write_file legt iocs.txt an, edit_file ändert sie mit einem Diff, und grep und glob finden Treffer im Arbeitsordner.
- Shellführt deine eigenen Befehle aus, etwa certutil -hashfile, um eine Datei zu hashen, oder findstr, um Text zu durchsuchen, und meldet den echten Exit-Code.
- Webweb_search und http_get lesen veröffentlichte Warnmeldungen und Vorfallberichte, damit du die Indikatoren in deine eigene Liste übernehmen kannst.
- Screenshots und Bilderocr liest Text aus einem Screenshot, zum Beispiel eine Indikatorentabelle, die nur als Bild veröffentlicht wurde.
- Orchestrierungtask startet parallele Sub-Agenten auf getrennten Log-Ordnern, skill speichert ein wiederverwendbares Playbook, und run_on_model schickt einen schwierigen Schritt an ein größeres Modell.
- FreigabemodiAuto-run handelt sofort, Ask first pausiert vor jeder Änderung und Plan only listet die Suchen auf, ohne etwas auszuführen.
- Cronführt einen Prompt nach Zeitplan aus, zum Beispiel eine wöchentliche Suche in einem frischen Log-Export, den du in den Ordner kopiert hast.
- ModelleVerbinde einen Cloud-KI-Anbieter, ein Modell auf deinem eigenen PC oder das integrierte Modell und klicke auf Test, um den Endpunkt zu prüfen.
Reiner Text ist ein guter Anfang für eine Liste
Deine Liste mit Kompromittierungsindikatoren kann eine einfache Textdatei pro Vorfall sein, abgelegt in einem Ordner. Reiner Text genügt. Der Agent bearbeitet sie mit Diffs, und Prompts gehen nur an den Modell-Endpunkt, den du wählst.
Lies incident-note.txt und die Tabelle in table-screenshot.png, schreibe die Adressen, Domains und Hashes in iocs.txt, räume die Datei auf und prüfe jeden Wert gegen die Notiz.
- read_file
incident-note.txtNotiz gelesen - ocr
table-screenshot.pngText gelesen - write_file
iocs.txtgespeichert - edit_file
iocs.txtDiff angezeigt - grep
192.0.2.44 in incident-note.txt1 Treffer
Wartet auf dein OK für den nächsten SchrittAblehnenAkzeptieren
Zwei durchgespielte Beispiele
Von wirren Notizen zu einer sauberen Liste
Nach einem Vorfall gibt es oft Notizen in freier Form, deshalb kann der Agent als einfacher IOC-Parser dienen: read_file öffnet die Notiz, grep findet alles, was nach Adresse, Hash oder Domain aussieht, und write_file speichert eine erste iocs.txt. Das ist ein Entwurf. Zeigt ein Gerät auffälliges Verhalten, können die aus seinen Logs gesammelten Indikatoren in dieselbe Liste wandern. Werte wie der Name einer Aufgabe aus dem Security-Ereignis 4698 oder ein Dateiname in einem Temp-Ordner brauchen ein menschliches Auge, also lass den Agenten eine Kommentarzeile ergänzen, die sagt, woher jeder Wert stammt. Starte im Modus Ask first, lies den Diff Zeile für Zeile und entferne alles, was in deiner Umgebung nur ein normaler Name ist.
Eine Liste prüfen und dann teilen
Lass grep über deine Log-Kopien für jede Zeile in iocs.txt laufen und write_file daneben eine Notiz mit den Funden speichern. Teilt dein Team IOCs zur Anreicherung und für die Bedrohungssuche, gib nur die geprüfte, «defanged» Liste weiter, niemals die rohen Logs. GoChannel Desk ist kein Fallmanagementsystem: Es schreibt eine Notiz mit den Funden in deinen Ordner, und die eigentliche Fallakte bleibt dort, wo dein Team sie führt. Teste die Routine zuerst mit harmlosen Dokumentationswerten wie dem Bereich 192.0.2.x und lies jede Karte, sobald sie erscheint, bevor du ihr bei einem echten Vorfall vertraust.
Was GoChannel Desk nicht tut
GoChannel Desk ist eine Windows-App, kein gehosteter Dienst und kein Plugin. Nutze es nur für deine eigenen Dateien, deinen PC und Server, die du untersuchen darfst, und niemals für Systeme, Konten oder Daten, die dir nicht gehören. Ergebnisse können falsch sein. Prüfe jedes Ergebnis, bevor du dich darauf verlässt.
