Apri la cartella di lavoro
Metti copie dei tuoi log e un iocs.txt vuoto nella cartella di lavoro della chat. Non puntare mai l’agente sugli originali.
Flussi di lavoro
Strumenti per gli indicatori di compromissione: ricerca di IOC passo passo
03
Controlla i tuoi log con un nuovo report di IOC
Un nuovo report elenca indirizzi, domini e hash, e vuoi sapere se qualcuno compare nei tuoi log. Quando cerchi IOC, preferisci fonti affidabili come avvisi pubblicati, report di incidenti e i tuoi incidenti passati, e controlla la data di ogni voce, perché quelle vecchie diventano obsolete. Copia prima i log. Poi lascia che l’agente trasformi il report in un elenco, cerchi nelle copie e annoti ogni pista da controllare.
Compila iocs.txt
Chiedi all’agente di leggere il report e di scrivere gli indicatori in iocs.txt, ripristinando il testo «defanged». Controlla il diff.
Cerca nelle copie dei log
Usa Plan only per elencare le ricerche senza eseguirle; Ask first si ferma prima di qualsiasi azione che modifichi qualcosa.
Verifica e annota i risultati
Leggi ogni corrispondenza nel suo contesto con read_file, poi fai scrivere all’agente una nota con indicatore, file e riga.
Un esempio di iocs.txt
Cerca nelle copie dei log ogni indicatore di iocs.txt ed elenca ogni corrispondenza con il suo file e la sua riga.
- read_file
iocs.txtelenco letto - glob
logs-copy/*.loglog trovati - grep
192.0.2.44 in logs-copy2 corrispondenze - read_file
logs-copy/dns.logcontesto letto
In attesa del tuo OK prima del passo successivoRifiutaAccetta
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskUn elenco in testo semplice: le righe di commento iniziano con il simbolo del cancelletto, ogni altra riga è un tipo e un valore. Tutti i valori sono esempi di documentazione innocui, e l’indirizzo hxxps è «defanged».
Calcola gli hash e tieni un database di indicatori di compromissione
Calcola l’hash di un file senza aprirlo
Due degli strumenti per gli indicatori di compromissione che ti servono fanno già parte di Windows: certutil e findstr. Copia il file sospetto nella cartella di lavoro e lascia che Shell esegua certutil -hashfile sulla copia. Shell può anche eseguire gli strumenti forensi a riga di comando che già usi, e riporta il vero codice di uscita di ogni comando. Poi grep cerca in iocs.txt il valore stampato, e findstr può fare lo stesso in un’esportazione di testo. Una corrispondenza è una pista, mai un verdetto. Usa Plan only per leggere il comando prima che venga eseguito e non aprire né eseguire mai il file stesso.
Tieni un file per incidente
Un piccolo database di indicatori di compromissione può essere un file di testo semplice o CSV per incidente, in una cartella condivisa dal tuo team. Gli avvisi spesso aggiungono contesto su un IOC: dove è stato visto in circolazione e quali metodi ha usato l’attaccante con esso. Chiedi all’agente di conservare quel contesto come riga di commento sopra il valore. Usa edit_file per riordinare il file e leggi il diff. I file semplici sono facili da controllare. La volta dopo, cerca in tutta la cartella con grep e confronta i risultati con le tue note precedenti prima di decidere che cosa segnalare. La nota con i risultati può elencare le corrispondenze in ordine di tempo, e tu controlli quell’ordine sul log.
