Indicators of compromise examples: 에이전트가 찾을 수 있는 것

IOC 작업에서 에이전트가 하는 일

• 파일read_file이 로그를 읽고, write_file이 iocs.txt를 만들고, edit_file이 diff와 함께 수정하며, grep과 glob이 작업 폴더 안에서 일치 항목을 찾아요.
• Shellcertutil -hashfile로 파일 해시를 구하거나 findstr로 텍스트를 검색하는 등 내 명령을 실행하고 실제 종료 코드를 알려 줘요.
• 웹web_search와 http_get이 공개된 권고문과 사고 보고서를 읽어서 지표를 내 목록에 복사할 수 있게 해 줘요.
• 스크린샷과 이미지ocr이 스크린샷에서 글자를 읽어요. 예를 들어 그림으로만 공개된 지표 표가 있어요.
• 오케스트레이션task가 서로 다른 로그 폴더에서 하위 에이전트를 병렬로 실행하고, skill이 재사용 가능한 플레이북을 보관하며, run_on_model이 어려운 단계를 더 큰 모델에 맡겨요.
• 승인 모드Auto-run은 즉시 실행하고, Ask first는 모든 변경 전에 멈추며, Plan only는 아무것도 실행하지 않고 검색을 나열해요.
• Cron일정에 따라 프롬프트를 실행해요. 예를 들어 폴더에 복사해 둔 새 로그 내보내기를 매주 검색할 수 있어요.
• 모델클라우드 AI 제공업체, 내 PC의 모델, 내장 모델 중 하나를 연결하고 Test를 눌러 엔드포인트를 확인하세요.

실제 예시 두 가지

어수선한 메모에서 깔끔한 목록으로

사고 뒤에는 자유 형식의 메모가 흔해서, 에이전트가 간단한 IOC 파서 역할을 할 수 있어요. read_file이 메모를 열고, grep이 주소, 해시, 도메인처럼 보이는 것을 찾고, write_file이 첫 iocs.txt를 저장해요. 이건 초안이에요. 장비가 평소와 다르게 동작한 뒤라면, 그 로그에서 모은 지표를 같은 목록에 추가할 수 있어요. Security 이벤트 4698의 작업 이름이나 임시 폴더의 파일 이름 같은 값은 사람의 눈이 필요하니, 각 값의 출처를 적은 주석 줄을 추가해 달라고 에이전트에 요청하세요. Ask first로 실행하고 diff를 한 줄씩 읽은 뒤, 내 환경에서는 평범한 이름일 뿐인 항목은 지우세요.

목록을 점검한 다음 공유하기

iocs.txt의 각 줄에 대해 로그 사본에 grep을 실행하고, write_file이 그 옆에 조사 결과 메모를 저장하게 하세요. 팀에서 보강과 위협 헌팅을 위해 IOC를 공유한다면, 검토를 마치고 무력화한 목록만 전달하고 원본 로그는 절대 넘기지 마세요. GoChannel Desk는 케이스 관리 시스템이 아니에요. 폴더에 조사 결과 메모를 쓸 뿐이고, 실제 케이스 기록은 팀이 보관하는 곳에 그대로 남아요. 먼저 192.0.2.x 대역 같은 무해한 문서용 값으로 이 과정을 시험해 보고, 실제 사고를 맡기기 전에 나타나는 카드를 하나하나 읽어 보세요.