Leest je bestanden
read_file, grep en glob openen en doorzoeken de logkopieën en iocs.txt in de werkmap van de chat.
Product
Voorbeelden van compromisindicatoren waar de agent naar kan zoeken
01
Voorbeelden van compromisindicatoren zijn makkelijk voor te stellen: een bestandshash uit een rapport, een IP-adres in een firewalllog, een domein in een DNS-log of een geplande taak die je nooit hebt gemaakt. Elk daarvan is een spoor dat je in je logs zoekt. GoChannel Desk zoekt ze in kopieën van je eigen bestanden en toont elk resultaat als een kaart.
Voert je opdrachten uit
Shell voert opdrachten uit zoals certutil en findstr en meldt de echte exitcode; gevaarlijke opdrachten worden geblokkeerd.
Vraagt vóór het wijzigen
Ask first pauzeert vóór elke actie die iets wijzigt, en Plan only toont de stappen en wijzigt niets.
Wat de agent doet bij IOC-werk
- Bestandenread_file leest logs, write_file maakt iocs.txt, edit_file wijzigt het met een diff, en grep en glob vinden treffers in de werkmap.
- Shellvoert je eigen opdrachten uit, zoals certutil -hashfile om een bestand te hashen of findstr om tekst te doorzoeken, en meldt de echte exitcode.
- Webweb_search en http_get lezen gepubliceerde waarschuwingen en incidentrapporten, zodat je de indicatoren in je eigen lijst kunt overnemen.
- Screenshots en afbeeldingenocr leest tekst uit een screenshot, bijvoorbeeld een indicatorentabel die alleen als afbeelding is gepubliceerd.
- Orkestratietask draait sub-agents parallel op aparte logmappen, skill bewaart een herbruikbaar draaiboek en run_on_model stuurt een lastige stap naar een groter model.
- GoedkeuringsmodiAuto-run handelt direct, Ask first pauzeert vóór elke wijziging en Plan only toont de zoekopdrachten zonder iets uit te voeren.
- Cronvoert een prompt volgens schema uit, bijvoorbeeld een wekelijkse zoekopdracht in een verse logexport die je naar de map hebt gekopieerd.
- Modellenverbind een cloud-AI-aanbieder, een model op je eigen pc of het ingebouwde model en druk op Test om het eindpunt te controleren.
Platte tekst is een goed begin voor een lijst
Je lijst met compromisindicatoren kan een eenvoudig tekstbestand per incident zijn, bewaard in een map. Platte tekst is genoeg. De agent bewerkt het met diffs, en prompts gaan alleen naar het modeleindpunt dat je kiest.
Lees incident-note.txt en de tabel in table-screenshot.png, schrijf de adressen, domeinen en hashes naar iocs.txt, ruim het bestand op en controleer elke waarde aan de hand van de notitie.
- read_file
incident-note.txtnotitie gelezen - ocr
table-screenshot.pngtekst gelezen - write_file
iocs.txtopgeslagen - edit_file
iocs.txtdiff getoond - grep
192.0.2.44 in incident-note.txt1 treffer
Wacht op je OK voor de volgende stapAfwijzenAccepteren
Twee uitgewerkte voorbeelden
Van rommelige notities naar een nette lijst
Vrije notities zijn gewoon na een incident, dus de agent kan dienen als een ruwe IOC-parser: read_file opent de notitie, grep vindt alles wat op een adres, hash of domein lijkt, en write_file slaat een eerste iocs.txt op. Dit is een concept. Gedraagt een apparaat zich vreemd, dan kunnen de indicatoren uit zijn logs in dezelfde lijst komen. Waarden zoals de naam van een taak uit beveiligingsgebeurtenis 4698 of een bestandsnaam in een tijdelijke map hebben een menselijk oog nodig, dus laat de agent een commentaarregel toevoegen met de herkomst van elke waarde. Draai het in Ask first, lees de diff regel voor regel en haal alles weg wat in jouw omgeving gewoon een normale naam is.
Controleer een lijst en deel haar daarna
Laat grep over je logkopieën lopen voor elke regel in iocs.txt en laat write_file er een notitie met bevindingen naast opslaan. Deelt je team IOC’s voor verrijking en dreigingsjacht, geef dan alleen de gecontroleerde, «defanged» lijst door, nooit de ruwe logs. GoChannel Desk is geen systeem voor casemanagement: het schrijft een notitie met bevindingen in je map, en het echte dossier blijft waar je team het bewaart. Test de routine eerst op onschuldige documentatiewaarden, zoals het bereik 192.0.2.x, en lees elke kaart zodra die verschijnt voordat je erop vertrouwt bij een echt incident.
Wat GoChannel Desk niet doet
GoChannel Desk is een Windows-app, geen gehoste dienst en geen plugin. Gebruik het alleen op je eigen bestanden, je pc en servers die je mag onderzoeken, en nooit op systemen, accounts of gegevens die niet van jou zijn. Resultaten kunnen fout zijn. Controleer elk resultaat voordat je erop vertrouwt.
