작업 폴더 열기
로그 사본과 빈 iocs.txt를 채팅의 작업 폴더에 넣으세요. 에이전트가 원본을 향하게 해서는 안 돼요.
워크플로
Indicators of compromise tools: 단계별 IOC 검색
03
새 IOC 보고서와 내 로그 대조하기
새 보고서에 주소, 도메인, 해시가 나열돼 있고, 그중 어느 것이 내 로그에 나타나는지 알고 싶다고 해 볼게요. IOC를 찾을 때는 공개된 권고문, 사고 보고서, 내 과거 사고 같은 믿을 만한 출처를 고르고, 오래된 항목은 낡아 버리니 각 항목의 날짜를 확인하세요. 먼저 로그를 복사하세요. 그런 다음 에이전트가 보고서를 목록으로 바꾸고, 사본을 검색하고, 검토할 수 있게 모든 단서를 적어 두도록 하세요.
iocs.txt 채우기
에이전트에 보고서를 읽고, 무력화된 텍스트를 원래대로 되돌리며 지표를 iocs.txt에 쓰게 하세요. diff를 확인하세요.
로그 사본 검색하기
Plan only로 실행 없이 검색을 나열하세요. Ask first는 무언가를 바꾸는 동작 전에 멈춰요.
결과 확인하고 기록하기
read_file로 각 일치 항목을 문맥 속에서 읽은 뒤, 에이전트가 지표, 파일, 줄을 나열한 조사 결과 메모를 쓰게 하세요.
iocs.txt 예시
로그 사본에서 iocs.txt에 있는 모든 지표를 검색하고, 일치 항목마다 파일과 줄을 나열해 줘.
- read_file
iocs.txt목록 읽음 - glob
logs-copy/*.log로그 찾음 - grep
192.0.2.44 in logs-copy2건 일치 - read_file
logs-copy/dns.log주변 내용 읽음
다음 단계 전에 승인을 기다리고 있어요거부승인
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTask일반 텍스트 목록이에요. 주석 줄은 해시 기호로 시작하고, 나머지 줄은 모두 유형과 값이에요. 모든 값은 무해한 문서용 예시이고, hxxps 주소는 무력화되어 있어요.
파일 해시 구하기와 indicators of compromise database 관리
파일을 열지 않고 해시 구하기
필요한 도구 두 가지는 이미 Windows에 들어 있어요. certutil과 findstr예요. 의심스러운 파일을 작업 폴더에 복사하고, Shell이 사본에 certutil -hashfile을 실행하게 하세요. Shell은 이미 쓰고 있는 명령줄 포렌식 도구도 실행할 수 있고, 각 명령의 실제 종료 코드를 알려 줘요. 그다음 grep이 출력된 값을 iocs.txt에서 검색하고, findstr로 텍스트 내보내기에서 같은 일을 할 수 있어요. 일치는 단서일 뿐 판결이 아니에요. 실행 전에 명령을 읽으려면 Plan only를 쓰고, 파일 자체는 절대 열거나 실행하지 마세요.
사고마다 파일 하나씩 보관하기
작은 지표 데이터베이스는 팀이 공유하는 폴더에 사고마다 일반 텍스트나 CSV 파일 하나씩 두는 것으로 만들 수 있어요. 권고문에는 IOC가 실제로 어디서 관찰됐고 공격자가 어떤 수법과 함께 썼는지 같은 배경이 덧붙는 경우가 많아요. 에이전트가 그 배경을 값 위의 주석 줄로 남기게 하세요. 파일을 정리할 때는 edit_file을 쓰고 diff를 읽으세요. 일반 파일은 검토하기 쉬워요. 다음에는 grep으로 폴더 전체를 검색하고, 무엇을 보고할지 정하기 전에 일치 항목을 이전 메모와 비교하세요. 조사 결과 메모에는 일치 항목을 시간순으로 나열할 수 있고, 그 순서를 로그와 대조해 확인해요.
