Definição de indicadores de comprometimento e perguntas comuns
O básico sobre IOCs
O que é um indicador de comprometimento? Definição em palavras simples?
Um IOC é uma evidência que sugere que um sistema pode ter sido invadido ou infectado: o hash de um arquivo, um endereço IP, um nome de domínio, uma URL, um nome de arquivo, uma chave do registro ou o nome de uma tarefa agendada. Uma ocorrência significa investigar. Ela nunca confirma uma invasão sozinha.
Quais são os indicadores de comprometimento de ransomware?
São os rastros que o ransomware deixa em um sistema que é seu: arquivos de texto com a nota de resgate aparecendo em muitas pastas, muitos arquivos renomeados com uma extensão nova em pouco tempo e backups ou cópias de sombra sendo apagados. Trate cada um como urgente e siga o seu plano de resposta a incidentes.
De onde vêm os IOCs?
Quatro fontes comuns: alertas e relatórios de incidentes, os seus incidentes anteriores, formatos de compartilhamento de ameaças como o STIX e anotações coladas em um arquivo de texto. As datas importam. Prefira fontes confiáveis de IOCs para a caça a ameaças e confira a data de cada entrada, porque endereços e domínios perdem a validade rápido.
Qual a diferença entre IOCs e indicadores de ataque?
Um IOC diz que um artefato foi visto, como um hash ou um domínio, enquanto um indicador de ataque descreve um comportamento, como um programa iniciando em um horário estranho. Os hashes mudam a cada recompilação. A Pyramid of Pain classifica os indicadores pela dificuldade que um atacante tem para alterá-los.
Como usar o GoChannel Desk
O gocodesy.com é o site oficial do GoChannel Desk?
Sim, o gocodesy.com é o site oficial do GoChannel Desk. Baixe a versão original deste site e compare o checksum SHA-256 com o manifesto publicado antes de executar. Pular essa etapa é um erro. As dúvidas vão pelo botão Send feedback dentro do aplicativo.
Os resultados estão sempre certos?
Não. Uma busca mostra apenas o que está nos logs e na lista que você fornece, então você precisa ler cada ocorrência no contexto e cada diff antes de aceitar. Os resultados podem deixar coisas passarem. Uma busca limpa nunca prova que um sistema está limpo, e o GoChannel Desk não promete resultados completos.
Posso praticar uma investigação nos meus próprios logs?
Sim, em logs e arquivos que sejam seus ou que você esteja autorizado a examinar. Use apenas cópias. Você pode reproduzir um incidente passado ou os logs de um PC de laboratório como um pequeno estudo de caso de perícia digital, enquanto o agente busca e escreve notas e você tira as conclusões.
Ele substitui um profissional de perícia computacional?
Não. Um profissional decide o que uma ocorrência significa, preserva as evidências e conversa com a sua equipe de segurança. O GoChannel Desk apenas executa buscas e redige notas que uma pessoa depois confere. Ele não detecta ameaças em tempo real e não é um feed de inteligência de ameaças.
Modelos, privacidade e download
Qual modelo devo conectar?
Três opções: um provedor de IA na nuvem por um endpoint de API padrão, um modelo rodando no seu próprio PC ou o modelo integrado. Logs contêm dados pessoais, como endereços IP e nomes de usuário, então um modelo local os mantém na máquina, enquanto um modelo na nuvem recebe o que o agente envia.
O GoChannel Desk envia meus logs para algum lugar?
Sim, se você escolher um modelo na nuvem: as linhas de log que o agente coloca em um prompt são enviadas a esse endpoint. Com um modelo local nada sai do computador. Chats, pastas de trabalho e chaves de API ficam no PC, e segredos na saída das ferramentas são ocultados antes de chegar ao modelo. Não há telemetria.
Como baixo e verifico o GoChannel Desk?
Dois passos. Baixe o instalador, de cerca de 34 MB, depois execute certutil -hashfile nele e compare o valor SHA-256 com o manifesto publicado. Também existe um único .exe portátil de cerca de 25 MB. O Windows SmartScreen pode avisar porque o instalador ainda não tem assinatura de código, então continue só depois que os valores coincidirem.
