Exemples d’indicateurs de compromission que l’agent peut rechercher

Ce que fait l’agent pour le travail sur les IOC

• Fichiers read_file lit les logs, write_file crée iocs.txt, edit_file le modifie avec un diff, et grep et glob trouvent les correspondances dans le dossier de travail.
• Shell exécute tes propres commandes, comme certutil -hashfile pour calculer l’empreinte d’un fichier ou findstr pour chercher du texte, et indique le vrai code de sortie.
• Web web_search et http_get lisent des bulletins et des rapports d’incident publiés, pour que tu recopies les indicateurs dans ta propre liste.
• Captures d’écran et images ocr lit le texte d’une capture d’écran, par exemple un tableau d’indicateurs publié uniquement sous forme d’image.
• Orchestration task lance des sous-agents en parallèle sur des dossiers de logs distincts, skill conserve un guide réutilisable et run_on_model confie une étape difficile à un modèle plus grand.
• Modes d’approbation Auto-run agit immédiatement, Ask first s’arrête avant chaque modification et Plan only liste les recherches sans rien exécuter.
• Cron lance un prompt selon un calendrier, par exemple une recherche hebdomadaire dans un nouvel export de logs que tu as copié dans le dossier.
• Modèles connecte un fournisseur d’IA cloud, un modèle sur ton propre PC ou le modèle intégré, puis appuie sur Test pour vérifier le point d’accès.

Deux exemples concrets

De notes en vrac à une liste propre

Les notes libres sont courantes après un incident, donc l’agent peut servir d’analyseur d’IOC sommaire : read_file ouvre la note, grep repère tout ce qui ressemble à une adresse, une empreinte ou un domaine, et write_file enregistre un premier iocs.txt. C’est un brouillon. Quand un appareil se comporte de façon inhabituelle, les indicateurs relevés dans ses logs peuvent rejoindre la même liste. Des valeurs comme un nom de tâche de l’événement de sécurité 4698 ou un nom de fichier dans un dossier temporaire demandent un œil humain : demande donc à l’agent d’ajouter une ligne de commentaire indiquant d’où vient chaque valeur. Lance-le en Ask first, relis le diff ligne par ligne et retire tout ce qui n’est qu’un nom normal dans ton environnement.

Vérifier une liste, puis la partager

Lance grep sur tes copies de logs pour chaque ligne de iocs.txt et laisse write_file enregistrer une note de résultats à côté. Si ton équipe partage des IOC pour l’enrichissement et la recherche de menaces, ne transmets que la liste relue et « defanged », jamais les logs bruts. GoChannel Desk n’est pas un système de gestion de cas : il écrit une note de résultats dans ton dossier, et le vrai dossier de l’affaire reste là où ton équipe le conserve. Teste d’abord la routine sur des valeurs de documentation sans danger, comme la plage 192.0.2.x, et lis chaque carte au fur et à mesure avant de lui faire confiance sur un vrai incident.