Windows 10/11
Только 64-разрядные ПК (x64)
Официальный сайт GoChannel Desk
Indicators of compromise: поиск в ваших логах
GoChannel Desk 2.9.30 — агент для Windows: он составляет список IOC по отчёту, ищет его в копиях ваших собственных логов и показывает каждый шаг карточкой, которую можно проверить.
Найди в копиях логов каждый адрес и домен из iocs.txt и напиши заметку с находками.
- list_dir
logs-copyфайлы перечислены - read_file
iocs.txtсписок прочитан - grep
192.0.2.44 in logs-copy3 совпадения - read_file
logs-copy/fw.logконтекст прочитан - write_file
findings-note.mdсохранено
Ждёт вашего OK перед следующим шагомОтклонитьПринять
2.9.30
Выпущена 8 ноября 2026 г.
Около 34 МБ
Портативный файл около 25 МБ
Не нужен
Регистрация для запуска не требуется
Три режима
Auto-run, Ask first, Plan only
Без телеметрии
Чаты и ключи остаются на ПК
Indicators of compromise, которые можно проверить на своём ПК
Indicators of compromise — это следы, которые оставляет взлом: хеши файлов, IP-адреса, доменные имена, URL, имена файлов, ключи реестра и названия запланированных задач. Каждый из них — улика. Когда отчёт называет их, вы ищете каждый в логах и файлах, которые принадлежат вам, например в событии безопасности 4688, фиксирующем новый процесс. Совпадение — это зацепка, а не приговор.
Превратите опубликованный отчёт в iocs.txt
Попросите GoChannel Desk найти опубликованный отчёт через web_search, загрузить страницу через http_get и создать через write_file новый iocs.txt с одним индикатором в строке. IOC, которые публикуют исследователи безопасности, часто выглядят как «defanged»: вместо http стоит hxxp, а вместо точки — [.], чтобы никто не перешёл по ссылке случайно. Агент возвращает обычный вид. edit_file показывает diff для каждого изменения, а ocr считывает текст, если таблица есть только в виде скриншота. Запустите в режиме Ask first и прочитайте каждую строку с md5, адресом и доменом, прежде чем принять.
Журнал инструментов
web_search published advisory → results found
http_get advisory page → page read
write_file iocs.txt → saved
edit_file iocs.txt → diff shownНайдите каждый индикатор в копиях логов
Сначала скопируйте экспортированные логи межсетевого экрана и DNS в рабочую папку, чтобы оригиналы остались нетронутыми. list_dir и glob находят файлы логов, затем grep ищет в них каждый адрес и домен из iocs.txt. Каждое совпадение — зацепка. read_file открывает лог вокруг совпадения, так что вы видите строки до и после него с метками времени и можете понять, пришло ли соединение с машины, которую вы знаете. Выберите Plan only, чтобы сначала прочитать поисковые запросы, а первые 3 совпадения проверьте вручную, прежде чем что-либо записывать.
Журнал инструментов
list_dir logs-copy → files listed
glob *.log → logs found
grep 192.0.2.44 → 3 matches
read_file logs-copy/fw.log → context readПосчитайте хеш файла, а не открывайте его
Не открывайте его. Опознайте подозрительный файл по хешу: Shell запускает certutil -hashfile на копии файла с тем же типом хеша, что и в вашем списке, и сообщает настоящий код возврата, а grep ищет в iocs.txt выведенное значение md5. Совпавший хеш — зацепка, а несовпавший доказывает мало, ведь любая пересборка файла его меняет. findstr может найти то же значение в текстовом экспорте. Используйте Plan only, чтобы прочитать команду до запуска, и помните: Ask first останавливается только перед действиями, которые что-то меняют.
Запишите, что вы нашли
ИИ может помогать в цифровой криминалистике, но читать улики и решать, что значит совпадение, всё равно должен человек. task запускает параллельных субагентов на отдельных папках с логами, а write_file сохраняет заметку с каждым индикатором, файлом, строкой и временем, включая строки события безопасности 4625, которые вы сопоставили. Передавая заметку дальше, копируйте каждый индикатор как «defanged» IOC: hxxp в URL и [.] в адресах и доменах. Если совпадение выглядит настоящим, действуйте по плану реагирования на инциденты: изолируйте машину, сохраните улики и сообщите команде безопасности. Вредоносное ПО он не удаляет.
Чем он отличается от чат-ассистента
Чат-ассистенты обычно описывают шаги. GoChannel Desk 2.9.30 сам выполняет поиск и показывает каждый запрос карточкой с настоящим результатом, так что вы проверяете реальный вывод, а не описание.
| Обычный чат-ассистент | GoChannel Desk | |
|---|---|---|
| Поиск по логам | Предлагает команду и оставляет запуск вам | Запускает grep по копиям ваших логов и показывает совпадения |
| Проверка хешей | Описывает, как посчитать хеш файла | Запускает certutil на файле и сообщает настоящий код возврата |
| Список IOC | Выводит список в окне чата | Записывает iocs.txt и показывает diff для каждой правки |
| Контроль | Каждый шаг вы выполняете сами | Ask first останавливается перед изменениями; Plan only ничего не меняет |
Как это работает
- Установите GoChannel Desk в Windows 10 или 11 и сравните контрольную сумму SHA-256 установщика с опубликованным манифестом.
- Подключите модель: облачного провайдера, модель на вашем ПК или встроенную, и нажмите Test.
- Выберите рабочую папку с копиями ваших логов и списком iocs.txt.
- Опишите поиск, выберите Ask first или Plan only и проверьте каждую карточку и каждый diff, прежде чем принять.
Кто им пользуется и когда
Первая группа — студенты и защитники-самоучки, которые тренируются на собственных лабораторных ПК. Достаточно текстового файла. Тот, кто разбирает бюллетень об indicators of compromise, может вставить его список в iocs.txt и искать в копиях собственных логов, в том числе неудачные входы из события 4625, не написав сначала ни одного скрипта.
Вторая группа — администраторы небольших команд, которым досталась безопасность. Отчёты приходят без предупреждения. Администратору, ищущему индикаторы компрометации, обычно нужен простой список для проверки на одном офисном сервере или нескольких рабочих станциях и заметка с находками для того, кто занимается инцидентом.
Аналитики в команде безопасности могут использовать его как черновик для первых поисков, прежде чем перейти к полноценным инструментам. Интерфейс доступен на 13 языках. Он не обнаруживает угрозы в реальном времени и не является фидом данных об угрозах, поэтому работает рядом с вашим мониторингом, а не вместо него.
Частые вопросы об IOC
Что такое indicators of compromise?
Это улики того, что система могла быть взломана или заражена: хеш файла, IP-адрес, доменное имя, URL, имя файла, ключ реестра или отправитель письма. IOC — сокращённое название. Защитники ищут их после сообщения об угрозе, а совпадение означает «расследуй», но не «взлом подтверждён».
gocodesy.com — это официальный сайт GoChannel Desk?
Да, gocodesy.com — официальный сайт GoChannel Desk. Скачивайте оригинальную сборку с этого сайта и перед запуском сравните её контрольную сумму SHA-256 с опубликованным манифестом. Никогда не пропускайте проверку контрольной суммы. Вопросы отправляйте кнопкой Send feedback в приложении.
IOC в информационной безопасности — это то же самое, что индикатор атаки?
Нет. IOC фиксирует замеченный артефакт, например хеш или домен, а индикатор атаки описывает поведение, например программу, запущенную в странное время. Оба — зацепки для расследования, и ни один сам по себе не доказывает взлом.
Если поиск ничего не нашёл, значит ли это, что система чистая?
Нет. Поиск находит только то, что есть в переданных логах и в вашем списке индикаторов, поэтому ноль совпадений никогда не доказывает, что система чистая. Атакующие часто меняют адреса и домены, а у пересобранного файла другой хеш.
Обнаруживает ли GoChannel Desk угрозы в реальном времени?
Нет. GoChannel Desk — не инструмент мониторинга и не фид данных об угрозах. Он работает с экспортированными логами и файлами, которые принадлежат вам, когда вы его об этом просите, никогда не сканирует чужие сети и сам не удаляет вредоносное ПО.
В каких логах он умеет искать?
В логах, которые вы экспортируете и копируете в рабочую папку: межсетевого экрана, DNS, прокси, веб-сервера и приложений, а также в Windows Event Log, экспортированном в текст или CSV. Полезные события: 4624 и 4625 для входов, 4688 для новых процессов, 4698 для запланированных задач и 7045 для установленных служб. Работайте с копиями.
Отправляет ли GoChannel Desk мои логи куда-либо?
Да, если вы выберете облачную модель: строки логов, которые агент помещает в промпт, уходят на её эндпоинт. С локальной моделью с компьютера ничего не уходит. Чаты, рабочие папки и API-ключи остаются на ПК, а секреты в выводе инструментов скрываются, прежде чем попасть к модели. Телеметрии нет.
Попробуйте на копии ваших логов
Скачайте версию 2.9.30 для Windows 10 или 11 и попробуйте её на копиях собственных логов, начав с режима Plan only, чтобы прочитать каждый поиск до его запуска. Установщик весит около 34 МБ.
Скачать GoChannel Desk для Windows ↗Какие страницы открыть дальше
Каждая страница доступна и на 20 языках.
Что GoChannel Desk умеет делать с вашими файлами ↗ Подключите облачную, локальную или встроенную модель ↗ Пошаговое руководство по поиску IOC ↗ Скачайте и проверьте установщик ↗ Вопросы об IOC и о приложении ↗ Что остаётся на вашем ПК ↗
