Den Arbeitsordner öffnen
Lege Kopien deiner Logs und eine leere iocs.txt in den Arbeitsordner des Chats. Richte den Agenten nie auf die Originale.
Abläufe
Tools für Kompromittierungsindikatoren: IOC-Suche Schritt für Schritt
03
Prüfe deine Logs gegen einen neuen IOC-Bericht
Ein neuer Bericht nennt Adressen, Domains und Hashes, und du willst wissen, ob einer davon in deinen eigenen Logs auftaucht. Bevorzuge beim Suchen nach IOCs verlässliche Quellen wie veröffentlichte Warnmeldungen, Vorfallberichte und deine eigenen früheren Vorfälle, und prüfe das Datum jedes Eintrags, denn alte veralten. Kopiere zuerst die Logs. Lass den Agenten dann den Bericht in eine Liste verwandeln, die Kopien durchsuchen und jeden Hinweis zur Prüfung notieren.
iocs.txt füllen
Bitte den Agenten, den Bericht zu lesen und die Indikatoren in iocs.txt zu schreiben und «defanged» Text wiederherzustellen. Prüfe den Diff.
Die Log-Kopien durchsuchen
Nutze Plan only, um die Suchen aufzulisten, ohne sie auszuführen; Ask first pausiert vor jeder Aktion, die etwas ändert.
Ergebnisse prüfen und notieren
Lies jeden Treffer mit read_file im Kontext und lass den Agenten dann eine Notiz mit Indikator, Datei und Zeile schreiben.
Eine Beispiel-iocs.txt
Durchsuche die Log-Kopien nach jedem Indikator in iocs.txt und liste jeden Treffer mit Datei und Zeile auf.
- read_file
iocs.txtListe gelesen - glob
logs-copy/*.logLogs gefunden - grep
192.0.2.44 in logs-copy2 Treffer - read_file
logs-copy/dns.logKontext gelesen
Wartet auf dein OK für den nächsten SchrittAblehnenAkzeptieren
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskEine Liste in reinem Text: Kommentarzeilen beginnen mit einem Rautenzeichen, jede andere Zeile besteht aus Typ und Wert. Alle Werte sind harmlose Dokumentationsbeispiele, und die hxxps-Adresse ist «defanged».
Dateien hashen und eine Datenbank mit Kompromittierungsindikatoren führen
Eine Datei hashen, ohne sie zu öffnen
Zwei der Tools für Kompromittierungsindikatoren, die du brauchst, gehören schon zu Windows: certutil und findstr. Kopiere die verdächtige Datei in den Arbeitsordner und lass Shell certutil -hashfile auf der Kopie ausführen. Shell kann auch die Forensik-Werkzeuge für die Kommandozeile ausführen, die du ohnehin nutzt, und meldet den echten Exit-Code jedes Befehls. Danach sucht grep in iocs.txt nach dem ausgegebenen Wert, und findstr kann dasselbe in einem Text-Export tun. Ein Treffer ist ein Hinweis, niemals ein Urteil. Nutze Plan only, um den Befehl vor der Ausführung zu lesen, und öffne oder starte die Datei selbst nie.
Eine Datei pro Vorfall führen
Eine kleine Datenbank mit Kompromittierungsindikatoren kann eine einfache Text- oder CSV-Datei pro Vorfall sein, in einem Ordner, den dein Team teilt. Warnmeldungen liefern oft Kontext zu einem IOC: wo er in freier Wildbahn gesehen wurde und welche Methoden der Angreifer damit nutzte. Lass den Agenten diesen Kontext als Kommentarzeile über dem Wert festhalten. Nutze edit_file, um die Datei aufzuräumen, und lies den Diff. Einfache Dateien lassen sich leicht prüfen. Durchsuche beim nächsten Mal den ganzen Ordner mit grep und vergleiche die Treffer mit deinen früheren Notizen, bevor du entscheidest, was du meldest. Die Notiz mit den Funden kann die Treffer in zeitlicher Reihenfolge auflisten, und du prüfst diese Reihenfolge am Log.
