Otwórz folder roboczy
Umieść kopie swoich logów i pusty iocs.txt w folderze roboczym czatu. Nigdy nie kieruj agenta na oryginały.
Przepływy pracy
Narzędzia do wskaźników kompromitacji: wyszukiwanie IOC krok po kroku
03
Sprawdź swoje logi pod kątem nowego raportu IOC
Nowy raport wymienia adresy, domeny i skróty, a Ty chcesz wiedzieć, czy któryś pojawia się w Twoich logach. Szukając IOC, wybieraj wiarygodne źródła, takie jak opublikowane komunikaty, raporty o incydentach i własne wcześniejsze incydenty, i sprawdzaj datę każdego wpisu, bo stare się dezaktualizują. Najpierw skopiuj logi. Potem pozwól agentowi zamienić raport w listę, przeszukać kopie i zapisać każdy trop do sprawdzenia.
Wypełnij iocs.txt
Poproś agenta o przeczytanie raportu i zapisanie wskaźników w iocs.txt z przywróceniem tekstu «defanged». Sprawdź diff.
Przeszukaj kopie logów
Użyj Plan only, aby wypisać wyszukiwania bez ich uruchamiania; Ask first zatrzymuje się przed każdym działaniem, które coś zmienia.
Sprawdź i zapisz wyniki
Przeczytaj każde trafienie w kontekście przez read_file, a potem poproś agenta o notatkę ze wskaźnikiem, plikiem i wierszem.
Przykładowy iocs.txt
Przeszukaj kopie logów pod kątem każdego wskaźnika z iocs.txt i wypisz każde trafienie z plikiem i wierszem.
- read_file
iocs.txtlista wczytana - glob
logs-copy/*.loglogi znalezione - grep
192.0.2.44 in logs-copy2 trafienia - read_file
logs-copy/dns.logkontekst wczytany
Czeka na Twoje OK przed kolejnym krokiemOdrzućZaakceptuj
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskLista w zwykłym tekście: wiersze komentarza zaczynają się od znaku krzyżyka, a każdy inny wiersz to typ i wartość. Wszystkie wartości to niegroźne przykłady z dokumentacji, a adres hxxps jest «defanged».
Licz skróty plików i prowadź bazę wskaźników kompromitacji
Policz skrót pliku bez otwierania
Dwa z potrzebnych Ci narzędzi do wskaźników kompromitacji są już częścią Windows: certutil i findstr. Skopiuj podejrzany plik do folderu roboczego i pozwól, aby Shell uruchomił certutil -hashfile na kopii. Shell potrafi też uruchamiać narzędzia śledcze z wiersza poleceń, których już używasz, i zgłasza prawdziwy kod wyjścia każdego polecenia. Potem grep szuka w iocs.txt wypisanej wartości, a findstr zrobi to samo w wyeksportowanym tekście. Trafienie to trop, nigdy wyrok. Użyj Plan only, aby przeczytać polecenie przed uruchomieniem, i nigdy nie otwieraj ani nie uruchamiaj samego pliku.
Trzymaj jeden plik na incydent
Mała baza wskaźników kompromitacji może być jednym zwykłym plikiem tekstowym lub CSV na incydent, w folderze współdzielonym przez zespół. Komunikaty często dodają kontekst do IOC: gdzie go widziano w praktyce i jakich metod użył z nim atakujący. Poproś agenta, aby zapisał ten kontekst jako wiersz komentarza nad wartością. Użyj edit_file, aby uporządkować plik, i przeczytaj diff. Zwykłe pliki łatwo sprawdzać. Następnym razem przeszukaj cały folder przez grep i porównaj trafienia z wcześniejszymi notatkami, zanim zdecydujesz, co zgłosić. Notatka z ustaleniami może wypisywać trafienia w kolejności czasowej, a tę kolejność sprawdzasz w logu.
