Przykłady wskaźników kompromitacji, których agent może szukać

Co agent robi przy pracy z IOC

• Plikiread_file czyta logi, write_file tworzy iocs.txt, edit_file zmienia go z diffem, a grep i glob znajdują trafienia w folderze roboczym.
• Shelluruchamia Twoje własne polecenia, na przykład certutil -hashfile do policzenia skrótu pliku albo findstr do przeszukiwania tekstu, i zgłasza prawdziwy kod wyjścia.
• Webweb_search i http_get czytają opublikowane komunikaty i raporty o incydentach, aby można było przepisać wskaźniki do własnej listy.
• Zrzuty ekranu i obrazyocr odczytuje tekst ze zrzutu ekranu, na przykład tabelę wskaźników opublikowaną tylko jako obraz.
• Orkiestracjatask uruchamia równolegle sub-agentów na osobnych folderach z logami, skill przechowuje wielokrotnego użytku scenariusz, a run_on_model przekazuje trudny krok większemu modelowi.
• Tryby zatwierdzaniaAuto-run działa od razu, Ask first zatrzymuje się przed każdą zmianą, a Plan only wypisuje wyszukiwania bez uruchamiania czegokolwiek.
• Cronuruchamia prompt według harmonogramu, na przykład cotygodniowe wyszukiwanie w świeżym eksporcie logów skopiowanym do folderu.
• Modelepołącz dostawcę AI w chmurze, model na własnym komputerze albo wbudowany model i naciśnij Test, aby sprawdzić punkt końcowy.

Dwa przykłady krok po kroku

Od chaotycznych notatek do czystej listy

Po incydencie często zostają luźne notatki, więc agent może posłużyć za prosty parser IOC: read_file otwiera notatkę, grep znajduje wszystko, co wygląda jak adres, skrót lub domena, a write_file zapisuje pierwszy iocs.txt. To szkic. Gdy urządzenie zachowuje się nietypowo, wskaźniki zebrane z jego logów mogą trafić na tę samą listę. Wartości takie jak nazwa zadania ze zdarzenia zabezpieczeń 4698 czy nazwa pliku w folderze tymczasowym wymagają ludzkiego oka, więc poproś agenta o dodanie wiersza komentarza z informacją, skąd pochodzi każda wartość. Uruchom to w trybie Ask first, przeczytaj diff wiersz po wierszu i usuń wszystko, co w Twoim środowisku jest zwykłą nazwą.

Sprawdź listę, a potem ją udostępnij

Uruchom grep na kopiach swoich logów dla każdego wiersza z iocs.txt i pozwól write_file zapisać obok notatkę z ustaleniami. Jeśli Twój zespół wymienia się IOC w celu wzbogacania danych i polowania na zagrożenia, przekazuj tylko sprawdzoną, «defanged» listę, nigdy surowe logi. GoChannel Desk nie jest systemem do zarządzania sprawami: zapisuje notatkę z ustaleniami w Twoim folderze, a właściwa dokumentacja sprawy zostaje tam, gdzie trzyma ją zespół. Najpierw przetestuj procedurę na niegroźnych wartościach z dokumentacji, takich jak zakres 192.0.2.x, i czytaj każdą kartę na bieżąco, zanim zaufasz jej przy prawdziwym incydencie.