Ouvrir le dossier de travail
Place des copies de tes logs et un iocs.txt vide dans le dossier de travail du chat. Ne dirige jamais l’agent vers les originaux.
Parcours
Outils d’indicateurs de compromission : recherche d’IOC pas à pas
03
Vérifie tes logs avec un nouveau rapport d’IOC
Un nouveau rapport liste des adresses, des domaines et des hashes, et tu veux savoir si l’un d’eux apparaît dans tes propres logs. Pour trouver des IOC, privilégie des sources fiables comme les bulletins publiés, les rapports d’incident et tes incidents passés, et vérifie la date de chaque entrée, car les anciennes deviennent vite périmées. Copie d’abord les logs. Laisse ensuite l’agent transformer le rapport en liste, chercher dans les copies et noter chaque piste pour relecture.
Remplir iocs.txt
Demande à l’agent de lire le rapport et d’écrire les indicateurs dans iocs.txt en rétablissant le texte « defanged ». Vérifie le diff.
Chercher dans les copies de logs
Utilise Plan only pour lister les recherches sans les lancer ; Ask first s’arrête avant toute action qui modifie quelque chose.
Vérifier et noter les résultats
Lis chaque correspondance dans son contexte avec read_file, puis demande à l’agent de rédiger une note indiquant l’indicateur, le fichier et la ligne.
Un exemple de iocs.txt
Cherche dans les copies de logs chaque indicateur de iocs.txt et liste chaque correspondance avec son fichier et sa ligne.
- read_file
iocs.txtliste lue - glob
logs-copy/*.loglogs trouvés - grep
192.0.2.44 in logs-copy2 correspondances - read_file
logs-copy/dns.logcontexte lu
En attente de ton accord avant l’étape suivanteRefuserAccepter
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskUne liste en texte brut : les lignes de commentaire commencent par un dièse, et toutes les autres sont un type suivi d’une valeur. Toutes les valeurs sont des exemples de documentation sans danger, et l’adresse hxxps est « defanged ».
Calculer des hashes et tenir une base d’indicateurs de compromission
Calculer le hash d’un fichier sans l’ouvrir
Deux des outils d’indicateurs de compromission dont tu as besoin font déjà partie de Windows : certutil et findstr. Copie le fichier suspect dans le dossier de travail et laisse Shell lancer certutil -hashfile sur la copie. Shell peut aussi exécuter les outils d’investigation en ligne de commande que tu utilises déjà, et il indique le vrai code de sortie de chaque commande. Ensuite grep cherche dans iocs.txt la valeur affichée, et findstr peut faire de même dans un export texte. Une correspondance est une piste, jamais un verdict. Utilise Plan only pour lire la commande avant son exécution, et n’ouvre ni n’exécute jamais le fichier lui-même.
Garder un fichier par incident
Une petite base d’indicateurs de compromission peut être un fichier texte ou CSV par incident, dans un dossier que ton équipe partage. Les bulletins ajoutent souvent du contexte sur un IOC : où il a été observé dans la nature et quelles méthodes l’attaquant a employées avec lui. Demande à l’agent de garder ce contexte dans une ligne de commentaire au-dessus de la valeur. Utilise edit_file pour mettre le fichier au propre et lis le diff. Les fichiers simples sont faciles à relire. La fois suivante, cherche dans tout le dossier avec grep et compare les résultats avec tes notes précédentes avant de décider quoi signaler. La note de résultats peut lister les correspondances par ordre chronologique, et tu vérifies cet ordre dans le log.
