Indicators of compromise examples जिन्हें एजेंट खोज सकता है

एजेंट IOC के काम के लिए क्या करता है

• फ़ाइलेंread_file लॉग पढ़ता है, write_file iocs.txt बनाता है, edit_file उसे diff के साथ बदलता है, और grep व glob वर्किंग फ़ोल्डर में मिलान खोजते हैं।
• Shellआपके अपने कमांड चलाता है, जैसे फ़ाइल का हैश निकालने के लिए certutil -hashfile या टेक्स्ट खोजने के लिए findstr, और असली एग्ज़िट कोड बताता है।
• वेबweb_search और http_get प्रकाशित एडवाइज़री और घटना रिपोर्ट पढ़ते हैं, ताकि आप इंडिकेटर अपनी सूची में कॉपी कर सकें।
• स्क्रीनशॉट और चित्रocr स्क्रीनशॉट से टेक्स्ट पढ़ता है, जैसे वह इंडिकेटर तालिका जो सिर्फ़ तस्वीर के रूप में प्रकाशित हुई हो।
• ऑर्केस्ट्रेशनtask अलग-अलग लॉग फ़ोल्डरों पर समानांतर उप-एजेंट चलाता है, skill दोबारा इस्तेमाल होने वाली प्लेबुक रखता है, और run_on_model कठिन चरण को बड़े मॉडल के पास भेजता है।
• अनुमोदन मोडAuto-run तुरंत कार्रवाई करता है, Ask first हर बदलाव से पहले रुकता है, और Plan only कुछ चलाए बिना खोजों की सूची देता है।
• Cronशेड्यूल पर प्रॉम्प्ट चलाता है, जैसे फ़ोल्डर में कॉपी किए गए ताज़ा लॉग एक्सपोर्ट में साप्ताहिक खोज।
• मॉडलक्लाउड AI प्रदाता, अपने पीसी का मॉडल या बिल्ट-इन मॉडल जोड़ें, और एंडपॉइंट जाँचने के लिए Test दबाएँ।

दो व्यावहारिक उदाहरण

बिखरे नोट्स से साफ़ सूची तक

किसी घटना के बाद आमतौर पर नोट्स खुले रूप में लिखे होते हैं, इसलिए एजेंट मोटे IOC पार्सर का काम कर सकता है: read_file नोट खोलता है, grep पते, हैश या डोमेन जैसी हर चीज़ ढूँढता है, और write_file पहली iocs.txt सहेजता है। यह एक मसौदा है। जब कोई डिवाइस असामान्य व्यवहार करे, तो उसके लॉग से जुटाए इंडिकेटर उसी सूची में जोड़े जा सकते हैं। Security इवेंट 4698 से मिला टास्क नाम या अस्थायी फ़ोल्डर की कोई फ़ाइल जैसे मानों पर इंसानी नज़र चाहिए, इसलिए एजेंट से कहें कि हर मान के स्रोत वाली एक टिप्पणी पंक्ति जोड़े। इसे Ask first में चलाएँ, diff पंक्ति-दर-पंक्ति पढ़ें, और वह सब हटा दें जो आपके परिवेश में सिर्फ़ सामान्य नाम है।

सूची जाँचें, फिर साझा करें

iocs.txt की हर पंक्ति के लिए लॉग की कॉपी पर grep चलाएँ और write_file से उसके बगल में निष्कर्ष नोट सहेजने दें। अगर आपकी टीम समृद्धिकरण और थ्रेट हंटिंग के लिए IOC साझा करती है, तो केवल जाँची हुई, निष्क्रिय की गई सूची दें, कच्चे लॉग कभी नहीं। GoChannel Desk केस-मैनेजमेंट सिस्टम नहीं है: यह आपके फ़ोल्डर में निष्कर्ष नोट लिखता है, और असली केस रिकॉर्ड वहीं रहता है जहाँ आपकी टीम उसे रखती है। पहले इस प्रक्रिया को 192.0.2.x जैसे हानिरहित दस्तावेज़ीकरण मानों पर आज़माएँ, और किसी असली घटना पर भरोसा करने से पहले दिखने वाला हर कार्ड पढ़ें।