Indicators of compromise examples：エージェントが探せるもの

IOC の作業でエージェントができること

• ファイルread_file がログを読み、write_file が iocs.txt を作成し、edit_file が diff つきで編集し、grep と glob が作業フォルダ内の一致を見つけます。
• Shellcertutil -hashfile でファイルのハッシュを取る、findstr でテキストを検索するなど、あなた自身のコマンドを実行し、実際の終了コードを返します。
• Webweb_search と http_get が公開された注意喚起やインシデントレポートを読み、指標を自分のリストにコピーできるようにします。
• スクリーンショットと画像ocr がスクリーンショットから文字を読み取ります。たとえば画像でしか公開されていない指標の表です。
• オーケストレーションtask が別々のログフォルダでサブエージェントを並列実行し、skill が再利用できるプレイブックを保持し、run_on_model が難しい手順をより大きなモデルに任せます。
• 承認モードAuto-run は即座に実行し、Ask first はすべての変更の前に止まり、Plan only は何も実行せずに検索を一覧にします。
• Cronプロンプトをスケジュールどおりに実行します。たとえば、フォルダにコピーした新しいログのエクスポートを毎週検索します。
• モデルクラウドの AI プロバイダー、自分の PC 上のモデル、内蔵モデルのいずれかを接続し、Test を押してエンドポイントを確認します。

2 つの実践例

散らかったメモからきれいなリストへ

インシデントの後は自由形式のメモがよく残るので、エージェントは簡易的な IOC パーサーとして働けます。read_file がメモを開き、grep がアドレス、ハッシュ、ドメインらしきものを見つけ、write_file が最初の iocs.txt を保存します。これは下書きです。端末が普段と違う動きをした後は、そのログから集めた指標を同じリストに加えられます。Security イベント 4698 のタスク名や一時フォルダのファイル名のような値は人の目が必要なので、各値の出どころを書いたコメント行を追加するようエージェントに頼んでください。Ask first で実行し、diff を一行ずつ読み、自分の環境では普通の名前にすぎないものは削除します。

リストを確認してから共有する

iocs.txt の各行についてログのコピーに grep を実行し、write_file にその隣へ調査結果のメモを保存させます。チームで IOC をエンリッチメントや脅威ハンティングのために共有する場合は、確認済みで無害化したリストだけを渡し、生のログは決して渡さないでください。GoChannel Desk はケース管理システムではありません。調査結果のメモをフォルダに書くだけで、本当のケース記録はチームが保管している場所に残ります。まず 192.0.2.x の範囲のような無害なドキュメント用の値でこの手順を試し、実際のインシデントに任せる前に、表示されるカードを一枚ずつ読んでください。