Abra a pasta de trabalho
Coloque cópias dos seus logs e um iocs.txt vazio na pasta de trabalho do chat. Nunca aponte o agente para os originais.
Fluxos de trabalho
Ferramentas de indicadores de comprometimento: busca de IOCs passo a passo
03
Confira seus logs com um novo relatório de IOCs
Um relatório novo lista endereços, domínios e hashes, e você quer saber se algum deles aparece nos seus próprios logs. Ao procurar IOCs, prefira fontes confiáveis, como alertas publicados, relatórios de incidentes e os seus incidentes anteriores, e confira a data de cada entrada, porque as antigas perdem a validade. Copie os logs primeiro. Depois deixe o agente transformar o relatório em uma lista, procurar nas cópias e anotar cada pista para revisão.
Preencha o iocs.txt
Peça ao agente que leia o relatório e escreva os indicadores no iocs.txt, restaurando o texto «defanged». Confira o diff.
Procure nas cópias dos logs
Use o Plan only para listar as buscas sem executá-las; o Ask first pausa antes de qualquer ação que altere algo.
Confira e anote os resultados
Leia cada ocorrência no contexto com o read_file e peça ao agente que escreva uma nota de achados com indicador, arquivo e linha.
Um iocs.txt de exemplo
Procure nas cópias dos logs cada indicador do iocs.txt e liste cada ocorrência com o arquivo e a linha.
- read_file
iocs.txtlista lida - glob
logs-copy/*.loglogs encontrados - grep
192.0.2.44 in logs-copy2 ocorrências - read_file
logs-copy/dns.logcontexto lido
Aguardando seu OK para o próximo passoRejeitarAceitar
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskUma lista em texto simples: as linhas de comentário começam com o sinal de jogo da velha, e cada uma das outras é um tipo e um valor. Todos os valores são exemplos de documentação inofensivos, e o endereço hxxps está «defanged».
Calcule hashes e mantenha uma base de dados de indicadores de comprometimento
Calcule o hash de um arquivo sem abri-lo
Duas das ferramentas de indicadores de comprometimento de que você precisa já fazem parte do Windows: certutil e findstr. Copie o arquivo suspeito para a pasta de trabalho e deixe o Shell executar certutil -hashfile na cópia. O Shell também pode executar as ferramentas forenses de linha de comando que você já usa e informa o código de saída real de cada comando. Depois o grep procura no iocs.txt o valor exibido, e o findstr pode fazer o mesmo em uma exportação de texto. Uma ocorrência é uma pista, nunca um veredito. Use Plan only para ler o comando antes de ele rodar e nunca abra nem execute o arquivo em si.
Mantenha um arquivo por incidente
Uma pequena base de dados de indicadores de comprometimento pode ser um arquivo de texto simples ou CSV por incidente, em uma pasta que a sua equipe compartilha. Os alertas costumam trazer contexto sobre um IOC: onde ele foi visto em circulação e quais métodos o atacante usou com ele. Peça ao agente que guarde esse contexto como uma linha de comentário acima do valor. Use o edit_file para organizar o arquivo e leia o diff. Arquivos simples são fáceis de revisar. Da próxima vez, procure na pasta inteira com o grep e compare as ocorrências com as suas notas anteriores antes de decidir o que reportar. A nota de achados pode listar as ocorrências em ordem cronológica, e você confere essa ordem no log.
