Legge i tuoi file
read_file, grep e glob aprono e scorrono le copie dei log e iocs.txt nella cartella di lavoro della chat.
Prodotto
Esempi di indicatori di compromissione che l’agente può cercare
01
Gli esempi di indicatori di compromissione sono facili da immaginare: l’hash di un file citato in un report, un indirizzo IP in un log del firewall, un dominio in un log DNS o un’attività pianificata che non hai mai creato. Ognuno è una traccia che cerchi nei tuoi log. GoChannel Desk li cerca in copie dei tuoi file e mostra ogni risultato come una scheda.
Esegue i tuoi comandi
Shell esegue comandi come certutil e findstr e riporta il vero codice di uscita; i comandi pericolosi vengono bloccati.
Chiede prima di modificare
Ask first si ferma prima di qualsiasi azione che modifichi qualcosa, e Plan only elenca i passi e non modifica nulla.
Che cosa fa l’agente nel lavoro sugli IOC
- Fileread_file legge i log, write_file crea iocs.txt, edit_file lo modifica con un diff, e grep e glob trovano le corrispondenze nella cartella di lavoro.
- Shellesegue i tuoi comandi, come certutil -hashfile per calcolare l’hash di un file o findstr per cercare testo, e riporta il vero codice di uscita.
- Webweb_search e http_get leggono avvisi e report di incidenti pubblicati, così puoi copiare gli indicatori nel tuo elenco.
- Screenshot e immaginiocr legge il testo da uno screenshot, per esempio una tabella di indicatori pubblicata solo come immagine.
- Orchestrazionetask lancia sub-agenti in parallelo su cartelle di log separate, skill conserva un playbook riutilizzabile e run_on_model manda un passo difficile a un modello più grande.
- Modalità di approvazioneAuto-run agisce subito, Ask first si ferma prima di ogni modifica e Plan only elenca le ricerche senza eseguire nulla.
- Cronesegue un prompt a orari programmati, per esempio una ricerca settimanale in una nuova esportazione di log che hai copiato nella cartella.
- Modellicollega un provider di IA cloud, un modello sul tuo PC o il modello integrato, e premi Test per verificare l’endpoint.
Il testo semplice è un buon inizio per un elenco
Il tuo elenco di indicatori di compromissione può essere un semplice file di testo per incidente, conservato in una cartella. Il testo semplice basta. L’agente lo modifica con dei diff, e i prompt vanno solo all’endpoint del modello che scegli.
Leggi incident-note.txt e la tabella in table-screenshot.png, scrivi gli indirizzi, i domini e gli hash in iocs.txt, riordina il file e controlla ogni valore con la nota.
- read_file
incident-note.txtnota letta - ocr
table-screenshot.pngtesto letto - write_file
iocs.txtsalvato - edit_file
iocs.txtdiff mostrato - grep
192.0.2.44 in incident-note.txt1 corrispondenza
In attesa del tuo OK prima del passo successivoRifiutaAccetta
Due esempi pratici
Da appunti disordinati a un elenco pulito
Dopo un incidente gli appunti in forma libera sono comuni, quindi l’agente può fare da parser grezzo di IOC: read_file apre la nota, grep trova tutto ciò che sembra un indirizzo, un hash o un dominio, e write_file salva un primo iocs.txt. È una bozza. Quando un dispositivo mostra un comportamento insolito, gli indicatori raccolti dai suoi log possono finire nello stesso elenco. Valori come il nome di un’attività dall’evento di sicurezza 4698 o il nome di un file in una cartella temporanea richiedono un occhio umano, quindi chiedi all’agente di aggiungere una riga di commento che indichi da dove viene ogni valore. Usalo in Ask first, leggi il diff riga per riga e togli tutto ciò che nel tuo ambiente è solo un nome normale.
Controlla un elenco, poi condividilo
Esegui grep sulle tue copie dei log per ogni riga di iocs.txt e lascia che write_file salvi accanto una nota con i risultati. Se il tuo team condivide IOC per l’arricchimento e per la ricerca di minacce, passa solo l’elenco controllato e «defanged», mai i log grezzi. GoChannel Desk non è un sistema di gestione dei casi: scrive una nota con i risultati nella tua cartella, e il fascicolo vero del caso resta dove lo conserva il tuo team. Prova prima la routine su valori di documentazione innocui, come l’intervallo 192.0.2.x, e leggi ogni scheda man mano che compare prima di fidarti per un incidente reale.
Che cosa GoChannel Desk non fa
GoChannel Desk è un’app Windows, non un servizio ospitato né un plugin. Usalo solo sui tuoi file, sul tuo PC e su server che sei autorizzato a esaminare, e mai su sistemi, account o dati che non sono tuoi. I risultati possono essere sbagliati. Controlla ogni risultato prima di farci affidamento.
