GoChannel Desk
वर्कफ़्लो

Indicators of compromise tools: चरण-दर-चरण IOC खोज

03
परिदृश्य

नई IOC रिपोर्ट से अपने लॉग का मिलान करें

एक नई रिपोर्ट में पते, डोमेन और हैश सूचीबद्ध हैं, और आप जानना चाहते हैं कि इनमें से कोई आपके अपने लॉग में दिखता है या नहीं। IOC खोजते समय प्रकाशित एडवाइज़री, घटना रिपोर्ट और अपनी पिछली घटनाओं जैसे भरोसेमंद स्रोत चुनें, और हर प्रविष्टि की तारीख़ देखें, क्योंकि पुरानी प्रविष्टियाँ बासी हो जाती हैं। पहले लॉग कॉपी करें। फिर एजेंट को रिपोर्ट को सूची में बदलने, कॉपी में खोजने और हर सुराग को समीक्षा के लिए लिखने दें।

01

वर्किंग फ़ोल्डर खोलें

अपने लॉग की कॉपी और एक खाली iocs.txt चैट के वर्किंग फ़ोल्डर में रखें। एजेंट को मूल फ़ाइलों की ओर कभी न मोड़ें।

02

iocs.txt भरें

एजेंट से रिपोर्ट पढ़ने और निष्क्रिय किए गए टेक्स्ट को सामान्य रूप में लौटाकर इंडिकेटर iocs.txt में लिखने को कहें। diff जाँचें।

03

लॉग की कॉपी में खोजें

खोजों को चलाए बिना सूचीबद्ध करने के लिए Plan only इस्तेमाल करें; Ask first कुछ भी बदलने वाली कार्रवाई से पहले रुकता है।

04

नतीजे जाँचें और नोट करें

हर मिलान को read_file से उसके संदर्भ में पढ़ें, फिर एजेंट से इंडिकेटर, फ़ाइल और पंक्ति सूचीबद्ध करने वाला निष्कर्ष नोट लिखवाएँ।

iocs.txt का एक उदाहरण

iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTask

एक सादी टेक्स्ट सूची: टिप्पणी पंक्तियाँ हैश चिह्न से शुरू होती हैं, बाकी हर पंक्ति एक प्रकार और एक मान है। सभी मान हानिरहित दस्तावेज़ीकरण उदाहरण हैं, और hxxps पता निष्क्रिय किया हुआ है।

फ़ाइलों के हैश निकालें और indicators of compromise database रखें

फ़ाइल खोले बिना उसका हैश निकालें

आपको जिन टूल की ज़रूरत है, उनमें से दो पहले से Windows का हिस्सा हैं: certutil और findstr। संदिग्ध फ़ाइल को वर्किंग फ़ोल्डर में कॉपी करें और Shell को कॉपी पर certutil -hashfile चलाने दें। Shell वे कमांड-लाइन फ़ोरेंसिक टूल भी चला सकता है जिन्हें आप पहले से इस्तेमाल करते हैं, और हर कमांड का असली एग्ज़िट कोड बताता है। फिर grep छपे हुए मान को iocs.txt में खोजता है, और findstr यही काम किसी टेक्स्ट एक्सपोर्ट में कर सकता है। मिलान एक सुराग है, फ़ैसला नहीं। कमांड चलने से पहले उसे पढ़ने के लिए Plan only इस्तेमाल करें, और फ़ाइल को खुद कभी न खोलें, न चलाएँ।

हर घटना के लिए एक फ़ाइल रखें

एक छोटा इंडिकेटर डेटाबेस आपकी टीम के साझा फ़ोल्डर में हर घटना के लिए एक सादी टेक्स्ट या CSV फ़ाइल हो सकता है। एडवाइज़री अक्सर किसी IOC के बारे में संदर्भ जोड़ती हैं: वह वास्तविक दुनिया में कहाँ दिखा और हमलावर ने उसके साथ कौन-से तरीके अपनाए। एजेंट से कहें कि वह इस संदर्भ को मान के ऊपर एक टिप्पणी पंक्ति के रूप में रखे। फ़ाइल को व्यवस्थित करने के लिए edit_file इस्तेमाल करें और diff पढ़ें। सादी फ़ाइलों की समीक्षा आसान होती है। अगली बार पूरे फ़ोल्डर में grep से खोजें और क्या रिपोर्ट करना है यह तय करने से पहले हिट की तुलना अपने पुराने नोट्स से करें। निष्कर्ष नोट हिट को समय के क्रम में सूचीबद्ध कर सकता है, और आप उस क्रम को लॉग से मिलाकर जाँचते हैं।

Windows के लिए GoChannel Desk

लॉग की कॉपी पर अपनी पहली IOC खोज चलाएँ

GoChannel Desk डाउनलोड करें ↗