Buka folder kerja
Taruh salinan log dan iocs.txt kosong ke folder kerja obrolan. Jangan pernah mengarahkan agen ke berkas asli.
Alur kerja
Indicators of compromise tools: pencarian IOC langkah demi langkah
03
Periksa log-mu terhadap laporan IOC baru
Sebuah laporan baru mendaftar alamat, domain, dan hash, dan kamu ingin tahu apakah ada yang muncul di log milikmu. Saat mencari IOC, pilih sumber tepercaya seperti buletin yang dipublikasikan, laporan insiden, dan insiden masa lalumu sendiri, serta periksa tanggal setiap entri karena entri lama cepat basi. Salin dulu lognya. Lalu biarkan agen mengubah laporan menjadi daftar, mencari di salinan, dan menuliskan setiap petunjuk untuk kamu tinjau.
Isi iocs.txt
Minta agen membaca laporan dan menulis indikatornya ke iocs.txt, sambil mengembalikan teks yang dinetralkan ke bentuk normal. Periksa diff-nya.
Cari di salinan log
Gunakan Plan only untuk mendaftar pencarian tanpa menjalankannya; Ask first berhenti sebelum tindakan apa pun yang mengubah sesuatu.
Periksa dan catat hasilnya
Baca setiap kecocokan dalam konteksnya dengan read_file, lalu minta agen menulis catatan temuan yang mendaftar indikator, berkas, dan baris.
Contoh iocs.txt
Cari di salinan log setiap indikator dalam iocs.txt dan daftarkan setiap kecocokan beserta berkas dan barisnya.
- read_file
iocs.txtdaftar dibaca - glob
logs-copy/*.loglog ditemukan - grep
192.0.2.44 in logs-copy2 kecocokan - read_file
logs-copy/dns.logkonteks dibaca
Menunggu persetujuanmu sebelum langkah berikutnyaTolakTerima
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskDaftar teks biasa: baris komentar diawali tanda pagar, setiap baris lain berisi jenis dan nilai. Semua nilai adalah contoh dokumentasi yang tidak berbahaya, dan alamat hxxps sudah dinetralkan.
Hash berkas dan simpan indicators of compromise database
Hash berkas tanpa membukanya
Dua dari alat yang kamu butuhkan sudah menjadi bagian dari Windows: certutil dan findstr. Salin berkas mencurigakan ke folder kerja, lalu biarkan Shell menjalankan certutil -hashfile pada salinannya. Shell juga bisa menjalankan alat forensik baris perintah yang sudah kamu pakai, dan melaporkan kode keluar yang sebenarnya dari setiap perintah. Setelah itu grep mencari nilai yang tercetak di iocs.txt, dan findstr bisa melakukan hal yang sama pada ekspor teks. Kecocokan adalah petunjuk, bukan vonis. Gunakan Plan only untuk membaca perintah sebelum dijalankan, dan jangan pernah membuka atau menjalankan berkasnya sendiri.
Simpan satu berkas per insiden
Basis data indikator kecil bisa berupa satu berkas teks biasa atau CSV per insiden dalam folder yang dipakai bersama timmu. Buletin sering menambahkan konteks tentang sebuah IOC: di mana ia terlihat di dunia nyata dan metode apa yang dipakai penyerang bersamanya. Minta agen menyimpan konteks itu sebagai baris komentar di atas nilainya. Gunakan edit_file untuk merapikan berkas dan baca diff-nya. Berkas biasa mudah ditinjau. Lain kali, cari di seluruh folder dengan grep dan bandingkan temuan dengan catatan sebelumnya sebelum memutuskan apa yang akan dilaporkan. Catatan temuan bisa mendaftar temuan menurut urutan waktu, dan kamu mencocokkan urutan itu dengan log.
