Abre la carpeta de trabajo
Pon copias de tus logs y un iocs.txt vacío en la carpeta de trabajo del chat. No apuntes nunca el agente a los originales.
Flujos de trabajo
Herramientas de indicadores de compromiso: búsqueda de IOC paso a paso
03
Revisa tus logs con un informe nuevo de IOC
Un informe nuevo enumera direcciones, dominios y hashes, y quieres saber si alguno aparece en tus propios logs. Al buscar IOC, prefiere fuentes fiables como avisos publicados, informes de incidentes y tus incidentes anteriores, y comprueba la fecha de cada entrada, porque las antiguas caducan. Copia primero los logs. Después deja que el agente convierta el informe en una lista, busque en las copias y anote cada pista para revisarla.
Rellena iocs.txt
Pide al agente que lea el informe y escriba los indicadores en iocs.txt, restaurando el texto «defanged». Revisa el diff.
Busca en las copias de los logs
Usa Plan only para enumerar las búsquedas sin ejecutarlas; Ask first se detiene antes de cualquier acción que cambie algo.
Comprueba y anota los resultados
Lee cada coincidencia en su contexto con read_file y haz que el agente escriba una nota con el indicador, el archivo y la línea.
Un iocs.txt de ejemplo
Busca en las copias de los logs cada indicador de iocs.txt y enumera cada coincidencia con su archivo y su línea.
- read_file
iocs.txtlista leída - glob
logs-copy/*.loglogs encontrados - grep
192.0.2.44 in logs-copy2 coincidencias - read_file
logs-copy/dns.logcontexto leído
Esperando tu OK para el siguiente pasoRechazarAceptar
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskUna lista en texto plano: las líneas de comentario empiezan con una almohadilla y cada una de las demás es un tipo y un valor. Todos los valores son ejemplos de documentación inofensivos, y la dirección hxxps está «defanged».
Calcula hashes y mantén una base de datos de indicadores de compromiso
Calcula el hash de un archivo sin abrirlo
Dos de las herramientas de indicadores de compromiso que necesitas ya vienen con Windows: certutil y findstr. Copia el archivo sospechoso a la carpeta de trabajo y deja que Shell ejecute certutil -hashfile sobre la copia. Shell también puede ejecutar las herramientas forenses de línea de comandos que ya usas, e informa del código de salida real de cada comando. Después grep busca en iocs.txt el valor impreso, y findstr puede hacer lo mismo en una exportación de texto. Una coincidencia es una pista, nunca un veredicto. Usa Plan only para leer el comando antes de que se ejecute, y no abras ni ejecutes nunca el archivo.
Guarda un archivo por incidente
Una pequeña base de datos de indicadores de compromiso puede ser un archivo de texto plano o CSV por incidente, en una carpeta que comparta tu equipo. Los avisos suelen añadir contexto sobre un IOC: dónde se vio en circulación y qué métodos usó el atacante con él. Pide al agente que guarde ese contexto como línea de comentario encima de su valor. Usa edit_file para ordenar el archivo y lee el diff. Los archivos simples son fáciles de revisar. La próxima vez, busca en toda la carpeta con grep y compara las coincidencias con tus notas anteriores antes de decidir qué informar. La nota de hallazgos puede enumerar las coincidencias en orden cronológico, y tú compruebas ese orden con el log.
