作業フォルダを開く
ログのコピーと空の iocs.txt をチャットの作業フォルダに置きます。エージェントを元のファイルに向けてはいけません。
ワークフロー
Indicators of compromise tools：IOC 検索の手順
03
新しい IOC レポートに照らして自分のログを調べる
新しいレポートにアドレス、ドメイン、ハッシュが載っていて、それらが自分のログに現れるかを知りたいとします。IOC を探すときは、公開された注意喚起、インシデントレポート、自分の過去のインシデントといった信頼できる情報源を選び、古い項目は陳腐化するので各項目の日付を確認してください。まずログをコピーします。次に、エージェントにレポートをリストへ変換させ、コピーを検索させ、確認用にすべての手がかりを書き出させます。
iocs.txt を埋める
エージェントにレポートを読ませ、無害化されたテキストを元に戻しながら指標を iocs.txt に書き込ませます。diff を確認します。
ログのコピーを検索する
Plan only で実行せずに検索を一覧にします。Ask first は何かを変更する操作の前に止まります。
結果を確認して記録する
read_file で各一致を文脈の中で読み、エージェントに指標、ファイル、行を一覧にした調査結果のメモを書かせます。
iocs.txt の例
ログのコピーから iocs.txt にあるすべての指標を検索し、一致ごとにファイルと行を一覧にしてください。
- read_file
iocs.txtリストを読み取り - glob
logs-copy/*.logログを検出 - grep
192.0.2.44 in logs-copy2 件一致 - read_file
logs-copy/dns.log前後の文脈を読み取り
次の手順の前にあなたの承認を待っています拒否承認
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskプレーンテキストのリストです。コメント行はハッシュ記号で始まり、それ以外の行は種類と値で構成されます。値はすべて無害なドキュメント用の例で、hxxps のアドレスは無害化されています。
ファイルのハッシュを取り、indicators of compromise database を持つ
ファイルを開かずにハッシュを取る
必要なツールのうち 2 つは、すでに Windows に含まれています。certutil と findstr です。不審なファイルを作業フォルダにコピーし、Shell にそのコピーへ certutil -hashfile を実行させます。Shell は、すでに使っているコマンドラインのフォレンジックツールも実行でき、各コマンドの実際の終了コードを返します。その後 grep が出力された値を iocs.txt から検索し、findstr ならテキストのエクスポートから同じことができます。一致は手がかりであって、結論ではありません。実行前にコマンドを読むには Plan only を使い、ファイルそのものは決して開いたり実行したりしないでください。
インシデントごとに 1 ファイルを保管する
小さな指標データベースは、チームで共有するフォルダにインシデントごとに 1 つのプレーンテキストか CSV ファイルを置くだけで作れます。注意喚起には、その IOC がどこで観測され、攻撃者がどんな手口と組み合わせたかといった背景が書かれていることがよくあります。エージェントに、その背景を値の上のコメント行として残させましょう。ファイルを整えるには edit_file を使い、diff を読みます。プレーンなファイルは確認しやすいのが利点です。次回はフォルダ全体を grep で検索し、何を報告するか決める前に、ヒットを以前のメモと比べます。調査結果のメモにはヒットを時系列で並べられるので、その順序をログと照合して確かめます。
