Îți citește fișierele
read_file, grep și glob deschid și parcurg copiile logurilor și iocs.txt din folderul de lucru al chatului.
Produs
Exemple de indicatori de compromitere pe care agentul îi poate căuta
01
Exemplele de indicatori de compromitere sunt ușor de imaginat: hash-ul unui fișier dintr-un raport, o adresă IP într-un log de firewall, un domeniu într-un log DNS sau o sarcină programată pe care nu ai creat-o niciodată. Fiecare este o urmă pe care o cauți în logurile tale. GoChannel Desk le caută în copii ale propriilor tale fișiere și arată fiecare rezultat ca pe un card.
Îți rulează comenzile
Shell rulează comenzi precum certutil și findstr și raportează codul real de ieșire; comenzile periculoase sunt blocate.
Întreabă înainte să modifice
Ask first se oprește înainte de orice acțiune care schimbă ceva, iar Plan only listează pașii și nu schimbă nimic.
Ce face agentul în munca cu IOC
- Fișiereread_file citește logurile, write_file creează iocs.txt, edit_file îl modifică cu un diff, iar grep și glob găsesc potriviri în folderul de lucru.
- Shellrulează propriile tale comenzi, precum certutil -hashfile pentru hash-ul unui fișier sau findstr pentru căutarea în text, și raportează codul real de ieșire.
- Webweb_search și http_get citesc avertismente și rapoarte de incident publicate, ca să poți copia indicatorii în propria listă.
- Capturi de ecran și imaginiocr citește textul dintr-o captură de ecran, de pildă un tabel de indicatori publicat doar ca imagine.
- Orchestraretask rulează sub-agenți în paralel pe foldere de loguri separate, skill păstrează un ghid reutilizabil, iar run_on_model trimite un pas dificil la un model mai mare.
- Moduri de aprobareAuto-run acționează imediat, Ask first se oprește înainte de fiecare modificare, iar Plan only listează căutările fără să ruleze nimic.
- Cronrulează un prompt după un program, de exemplu o căutare săptămânală într-un export proaspăt de loguri copiat în folder.
- Modeleconectează un furnizor de AI în cloud, un model pe propriul PC sau modelul integrat și apasă Test ca să verifici punctul final.
Textul simplu e un bun început pentru o listă
Lista ta de indicatori de compromitere poate fi un fișier text simplu pentru fiecare incident, păstrat într-un folder. Textul simplu e de ajuns. Agentul îl editează cu diff-uri, iar prompturile ajung doar la punctul final al modelului pe care îl alegi.
Citește incident-note.txt și tabelul din table-screenshot.png, scrie adresele, domeniile și hash-urile în iocs.txt, curăță fișierul și verifică fiecare valoare cu nota.
- read_file
incident-note.txtnotă citită - ocr
table-screenshot.pngtext citit - write_file
iocs.txtsalvat - edit_file
iocs.txtdiff afișat - grep
192.0.2.44 in incident-note.txt1 potrivire
Așteaptă OK-ul tău înainte de pasul următorRespingeAcceptă
Două exemple detaliate
De la note dezordonate la o listă curată
După un incident, notele libere sunt frecvente, așa că agentul poate funcționa ca un parser brut de IOC: read_file deschide nota, grep găsește tot ce seamănă cu o adresă, un hash sau un domeniu, iar write_file salvează un prim iocs.txt. Este o ciornă. Când un dispozitiv se comportă ciudat, indicatorii adunați din logurile lui pot intra în aceeași listă. Valori precum numele unei sarcini din evenimentul de securitate 4698 sau numele unui fișier dintr-un folder temporar au nevoie de un ochi uman, așa că cere agentului să adauge o linie de comentariu care spune de unde vine fiecare valoare. Rulează în Ask first, citește diff-ul linie cu linie și scoate tot ce e doar un nume obișnuit în mediul tău.
Verifică o listă, apoi împarte-o
Rulează grep pe copiile logurilor tale pentru fiecare linie din iocs.txt și lasă write_file să salveze alături o notă cu rezultatele. Dacă echipa ta împarte IOC pentru îmbogățire și vânătoare de amenințări, trimite mai departe doar lista verificată și „defanged”, niciodată logurile brute. GoChannel Desk nu este un sistem de gestionare a cazurilor: scrie o notă cu rezultatele în folderul tău, iar dosarul real al cazului rămâne unde îl ține echipa. Testează întâi rutina pe valori inofensive din documentație, precum intervalul 192.0.2.x, și citește fiecare card pe măsură ce apare, înainte să te bazezi pe el într-un incident real.
Ce nu face GoChannel Desk
GoChannel Desk este o aplicație Windows, nu un serviciu găzduit și nici un plugin. Folosește-l doar pe propriile fișiere, pe PC-ul tău și pe servere pe care ai dreptul să le examinezi, și niciodată pe sisteme, conturi sau date care nu sunt ale tale. Rezultatele pot fi greșite. Verifică fiecare rezultat înainte să te bazezi pe el.
