Deschide folderul de lucru
Pune copii ale logurilor tale și un iocs.txt gol în folderul de lucru al chatului. Nu îndrepta niciodată agentul spre originale.
Fluxuri de lucru
Instrumente pentru indicatori de compromitere: căutarea IOC pas cu pas
03
Verifică-ți logurile cu un raport nou de IOC
Un raport nou listează adrese, domenii și hash-uri, iar tu vrei să știi dacă vreunul apare în propriile tale loguri. Când cauți IOC, preferă surse de încredere, precum avertismente publicate, rapoarte de incident și propriile incidente anterioare, și verifică data fiecărei intrări, pentru că cele vechi expiră. Copiază mai întâi logurile. Apoi lasă agentul să transforme raportul într-o listă, să caute în copii și să noteze fiecare pistă pentru verificare.
Completează iocs.txt
Cere agentului să citească raportul și să scrie indicatorii în iocs.txt, readucând textul „defanged” la forma normală. Verifică diff-ul.
Caută în copiile logurilor
Folosește Plan only ca să listezi căutările fără să le rulezi; Ask first se oprește înainte de orice acțiune care schimbă ceva.
Verifică și notează rezultatele
Citește fiecare potrivire în context cu read_file, apoi cere agentului să scrie o notă cu indicatorul, fișierul și linia.
Un exemplu de iocs.txt
Caută în copiile logurilor fiecare indicator din iocs.txt și listează fiecare potrivire cu fișierul și linia ei.
- read_file
iocs.txtlistă citită - glob
logs-copy/*.logloguri găsite - grep
192.0.2.44 in logs-copy2 potriviri - read_file
logs-copy/dns.logcontext citit
Așteaptă OK-ul tău înainte de pasul următorRespingeAcceptă
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskO listă în text simplu: liniile de comentariu încep cu semnul diez, iar fiecare altă linie este un tip și o valoare. Toate valorile sunt exemple inofensive din documentație, iar adresa hxxps este „defanged”.
Calculează hash-uri de fișiere și ține o bază de date cu indicatori de compromitere
Calculează hash-ul unui fișier fără să-l deschizi
Două dintre instrumentele pentru indicatori de compromitere de care ai nevoie fac deja parte din Windows: certutil și findstr. Copiază fișierul suspect în folderul de lucru și lasă Shell să ruleze certutil -hashfile pe copie. Shell poate rula și instrumentele de criminalistică din linia de comandă pe care le folosești deja și raportează codul real de ieșire al fiecărei comenzi. Apoi grep caută în iocs.txt valoarea afișată, iar findstr poate face același lucru într-un export de text. O potrivire este o pistă, niciodată un verdict. Folosește Plan only ca să citești comanda înainte să ruleze și nu deschide și nu rula niciodată fișierul în sine.
Ține câte un fișier pentru fiecare incident
O bază de date mică cu indicatori de compromitere poate fi un fișier text simplu sau CSV pentru fiecare incident, într-un folder pe care îl împarte echipa. Avertismentele adaugă adesea context despre un IOC: unde a fost văzut în practică și ce metode a folosit atacatorul cu el. Cere agentului să păstreze acel context ca o linie de comentariu deasupra valorii. Folosește edit_file ca să ordonezi fișierul și citește diff-ul. Fișierele simple sunt ușor de verificat. Data viitoare, caută în tot folderul cu grep și compară potrivirile cu notele tale anterioare înainte să decizi ce raportezi. Nota cu rezultate poate lista potrivirile în ordine cronologică, iar ordinea o verifici în log.
