Indicators of compromise definition とよくある質問

IOC とは、システムが侵害または感染された可能性を示す証拠のことです。ファイルのハッシュ、IP アドレス、ドメイン名、URL、ファイル名、レジストリキー、スケジュールされたタスクの名前などが当たります。一致は調査せよという意味で、それだけで侵害が確定することは決してありません。

自分が所有するシステムにランサムウェアが残す痕跡のことです。多くのフォルダに現れる身代金要求メモのテキストファイル、短時間に新しい拡張子へ名前が変わった大量のファイル、削除されたバックアップやシャドウコピーなどがあります。どれも緊急として扱い、インシデント対応計画に従ってください。

主な情報源は 4 つです。注意喚起とインシデントレポート、自分の過去のインシデント、STIX のような脅威共有フォーマット、テキストファイルに貼り付けたメモです。日付は重要です。脅威ハンティングには信頼できる IOC の情報源を選び、アドレスやドメインはすぐ古くなるので各項目の日付を確認してください。

IOC は、ハッシュやドメインのようなアーティファクトが観測されたことを示します。一方、攻撃指標は、プログラムが不自然な時刻に起動するといった振る舞いを表します。ハッシュはファイルを作り直すたびに変わります。Pyramid of Pain は、攻撃者にとって変更がどれだけ難しいかで指標を順位づけしたものです。

はい、gocodesy.com は GoChannel Desk の公式サイトです。このサイトから正規のビルドをダウンロードし、実行する前に SHA-256 チェックサムを公開済みのマニフェストと比較してください。その手順を省くのは間違いです。ご質問はアプリ内の Send feedback ボタンからお寄せください。

いいえ。検索で表示されるのは、渡したログとリストにある内容だけなので、承認する前にすべての一致を文脈の中で、すべての diff を自分で読む必要があります。見落としもあり得ます。検索結果が空でもシステムが安全だとは証明できず、GoChannel Desk は完全な結果を約束しません。

はい、自分が所有している、または調査を許可されているログとファイルに限ります。使うのはコピーだけです。過去のインシデントやラボ PC のログを、小さな実践的なデジタルフォレンジックのケーススタディとして再現できます。エージェントが検索してメモを書き、結論を出すのはあなたです。

いいえ。一致の意味を判断し、証拠を保全し、セキュリティチームと話をするのは専門家です。GoChannel Desk は検索を実行してメモの下書きを作るだけで、その内容を人が確認します。リアルタイムの脅威検知は行わず、脅威インテリジェンスのフィードでもありません。

選択肢は 3 つです。標準の API エンドポイント経由のクラウド AI プロバイダー、自分の PC で動くモデル、内蔵モデルです。ログには IP アドレスやユーザー名のような個人データが含まれるため、ローカルモデルならマシン内に留まり、クラウドモデルにはエージェントが送った内容が届きます。

クラウドモデルを選んだ場合は送信します。エージェントがプロンプトに入れたログの行が、そのエンドポイントに送られます。ローカルモデルなら、マシンの外には何も出ません。チャット、作業フォルダ、API キーは PC に残り、ツール出力の機密情報はモデルに届く前に伏せ字になります。テレメトリはありません。

2 つの手順です。約 34 MB のセットアップをダウンロードし、それに certutil -hashfile を実行して、SHA-256 の値を公開済みのマニフェストと比較します。約 25 MB の単一 .exe のポータブル版もあります。インストーラーはまだコード署名されていないため、Windows SmartScreen が警告することがあります。値が一致した後にのみ続行してください。