Open de werkmap
Zet kopieën van je logs en een lege iocs.txt in de werkmap van de chat. Richt de agent nooit op de originelen.
Werkwijzen
Tools voor compromisindicatoren: IOC-zoekopdracht stap voor stap
03
Controleer je logs met een nieuw IOC-rapport
Een nieuw rapport noemt adressen, domeinen en hashes, en je wilt weten of er een in je eigen logs voorkomt. Kies bij het zoeken naar IOC’s betrouwbare bronnen zoals gepubliceerde waarschuwingen, incidentrapporten en je eigen eerdere incidenten, en controleer de datum van elk item, want oude raken verouderd. Kopieer eerst de logs. Laat de agent daarna het rapport omzetten in een lijst, de kopieën doorzoeken en elke aanwijzing noteren om te controleren.
Vul iocs.txt
Vraag de agent het rapport te lezen en de indicatoren in iocs.txt te schrijven, waarbij «defanged» tekst wordt hersteld. Controleer de diff.
Doorzoek de logkopieën
Gebruik Plan only om de zoekopdrachten te tonen zonder ze uit te voeren; Ask first pauzeert vóór elke actie die iets wijzigt.
Controleer en noteer de resultaten
Lees elke treffer in context met read_file en laat de agent daarna een notitie schrijven met indicator, bestand en regel.
Een voorbeeld van iocs.txt
Zoek in de logkopieën naar elke indicator in iocs.txt en toon elke treffer met bestand en regel.
- read_file
iocs.txtlijst gelezen - glob
logs-copy/*.loglogs gevonden - grep
192.0.2.44 in logs-copy2 treffers - read_file
logs-copy/dns.logcontext gelezen
Wacht op je OK voor de volgende stapAfwijzenAccepteren
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskEen lijst in platte tekst: commentaarregels beginnen met een hekje, elke andere regel is een type en een waarde. Alle waarden zijn onschuldige documentatievoorbeelden, en het hxxps-adres is «defanged».
Hash bestanden en houd een database met compromisindicatoren bij
Hash een bestand zonder het te openen
Twee van de tools voor compromisindicatoren die je nodig hebt, zitten al in Windows: certutil en findstr. Kopieer het verdachte bestand naar de werkmap en laat Shell certutil -hashfile op de kopie uitvoeren. Shell kan ook de forensische opdrachtregeltools draaien die je al gebruikt, en meldt de echte exitcode van elke opdracht. Daarna zoekt grep in iocs.txt naar de afgedrukte waarde, en findstr kan hetzelfde doen in een tekstexport. Een treffer is een aanwijzing, nooit een oordeel. Gebruik Plan only om de opdracht te lezen voordat die draait, en open of start het bestand zelf nooit.
Houd één bestand per incident bij
Een kleine database met compromisindicatoren kan één tekst- of CSV-bestand per incident zijn, in een map die je team deelt. Waarschuwingen geven vaak context bij een IOC: waar het in het wild is gezien en welke methoden de aanvaller ermee gebruikte. Laat de agent die context bewaren als commentaarregel boven de waarde. Gebruik edit_file om het bestand op te ruimen en lees de diff. Eenvoudige bestanden zijn makkelijk te controleren. Doorzoek de volgende keer de hele map met grep en vergelijk de treffers met je eerdere notities voordat je beslist wat je meldt. De notitie met bevindingen kan treffers in tijdvolgorde tonen, en die volgorde controleer je aan het log.
