Indicatori di compromissione: definizione e domande frequenti
Le basi degli IOC
Che cos’è un indicatore di compromissione? Definizione in parole semplici?
Un IOC è una prova che suggerisce che un sistema potrebbe essere stato violato o infettato: l’hash di un file, un indirizzo IP, un nome di dominio, un URL, un nome di file, una chiave di registro o il nome di un’attività pianificata. Una corrispondenza significa indagare. Non conferma mai da sola una violazione.
Quali sono gli indicatori di compromissione di un ransomware?
Sono le tracce che un ransomware lascia su un sistema che è tuo: file di testo con la richiesta di riscatto che compaiono in molte cartelle, molti file rinominati con una nuova estensione in poco tempo, e backup o copie shadow che vengono cancellati. Tratta ognuno come urgente e segui il tuo piano di risposta agli incidenti.
Da dove arrivano gli IOC?
Quattro fonti comuni: avvisi e report di incidenti, i tuoi incidenti passati, formati di condivisione delle minacce come STIX e appunti incollati in un file di testo. Le date contano. Preferisci fonti di IOC affidabili per la ricerca di minacce e controlla la data di ogni voce, perché indirizzi e domini diventano presto obsoleti.
Che differenza c’è tra IOC e indicatori di attacco?
Un IOC dice che un artefatto è stato osservato, come un hash o un dominio, mentre un indicatore di attacco descrive un comportamento, come un programma che parte a un’ora insolita. Gli hash cambiano a ogni ricompilazione. La Pyramid of Pain ordina gli indicatori in base a quanto è difficile per un attaccante cambiarli.
Usare GoChannel Desk
gocodesy.com è il sito ufficiale di GoChannel Desk?
Sì, gocodesy.com è il sito ufficiale di GoChannel Desk. Scarica la versione originale da questo sito e confronta il suo checksum SHA-256 con il manifest pubblicato prima di eseguirla. Saltare questo passaggio è un errore. Le domande passano dal pulsante Send feedback dentro l’app.
I risultati sono sempre giusti?
No. Una ricerca mostra solo ciò che c’è nei log e nell’elenco che le fornisci, quindi devi leggere ogni corrispondenza nel suo contesto e ogni diff prima di accettare. I risultati possono perdere qualcosa. Una ricerca senza risultati non dimostra mai che un sistema sia pulito, e GoChannel Desk non promette risultati completi.
Posso esercitarmi a indagare sui miei log?
Sì, su log e file che sono tuoi o che sei autorizzato a esaminare. Usa solo copie. Puoi rivivere un incidente passato o i log di un PC di laboratorio come un piccolo caso di studio di informatica forense, mentre l’agente cerca e scrive note e tu trai le conclusioni.
Sostituisce un esperto di informatica forense?
No. Un professionista decide che cosa significa una corrispondenza, preserva le prove e parla con il tuo team di sicurezza. GoChannel Desk si limita a eseguire ricerche e a preparare note che una persona poi controlla. Non rileva minacce in tempo reale e non è un feed di threat intelligence.
Modelli, privacy e download
Quale modello devo collegare?
Tre opzioni: un provider di IA cloud tramite un endpoint API standard, un modello in esecuzione sul tuo PC o il modello integrato. I log contengono dati personali come indirizzi IP e nomi utente, quindi un modello locale li tiene sulla macchina, mentre un modello cloud riceve ciò che l’agente invia.
GoChannel Desk invia i miei log da qualche parte?
Sì, se scegli un modello cloud: le righe di log che l’agente mette in un prompt vengono inviate a quell’endpoint. Con un modello locale non esce nulla dal computer. Chat, cartelle di lavoro e chiavi API restano sul PC, e i segreti nell’output degli strumenti vengono oscurati prima di arrivare al modello. Non c’è telemetria.
Come scarico e verifico GoChannel Desk?
Due passi. Scarica l’installer, di circa 34 MB, poi esegui certutil -hashfile su di esso e confronta il valore SHA-256 con il manifest pubblicato. Esiste anche un singolo .exe portatile di circa 25 MB. Windows SmartScreen può avvisare perché l’installer non è ancora firmato digitalmente, quindi continua solo dopo che i valori corrispondono.
