Индикаторы компрометации: определение и частые вопросы

IOC — это улика, которая указывает, что система могла быть взломана или заражена: хеш файла, IP-адрес, доменное имя, URL, имя файла, ключ реестра или название запланированной задачи. Совпадение значит «расследуй». Само по себе оно никогда не подтверждает взлом.

Это следы, которые шифровальщик оставляет в принадлежащей вам системе: текстовые файлы с требованием выкупа, появляющиеся во многих папках, множество файлов, получивших новое расширение за короткое время, и удаляемые резервные копии или теневые копии. Относитесь к каждому как к срочному и действуйте по плану реагирования на инциденты.

Четыре распространённых источника: бюллетени и отчёты об инцидентах, ваши прошлые инциденты, форматы обмена данными об угрозах вроде STIX и заметки, вставленные в текстовый файл. Даты важны. Для поиска угроз выбирайте надёжные источники IOC и проверяйте дату каждой записи, потому что адреса и домены быстро устаревают.

IOC говорит, что замечен артефакт, например хеш или домен, а индикатор атаки описывает поведение, например программу, запущенную в странное время. Хеши меняются при любой пересборке. Пирамида боли (Pyramid of Pain) ранжирует индикаторы по тому, насколько трудно атакующему их изменить.

Да, gocodesy.com — официальный сайт GoChannel Desk. Скачивайте оригинальную сборку с этого сайта и перед запуском сравните её контрольную сумму SHA-256 с опубликованным манифестом. Пропустить этот шаг — ошибка. Вопросы отправляйте кнопкой Send feedback в приложении.

Нет. Поиск показывает только то, что есть в переданных логах и вашем списке, поэтому прежде чем принять, нужно прочитать каждое совпадение в контексте и каждый diff. Результаты могут что-то упустить. Пустой поиск никогда не доказывает, что система чистая, а GoChannel Desk не обещает полноты результатов.

Да, на логах и файлах, которые принадлежат вам или которые вы вправе изучать. Используйте только копии. Можно разыграть прошлый инцидент или логи лабораторного ПК как небольшой учебный кейс по цифровой криминалистике: агент ищет и пишет заметки, а выводы делаете вы.

Нет. Специалист решает, что значит совпадение, сохраняет улики и общается с вашей командой безопасности. GoChannel Desk лишь запускает поиск и готовит заметки, которые затем проверяет человек. Он не обнаруживает угрозы в реальном времени и не является фидом данных об угрозах.

Три варианта: облачный ИИ-провайдер через стандартный API-эндпоинт, модель на вашем собственном ПК или встроенная модель. В логах есть персональные данные, такие как IP-адреса и имена пользователей, поэтому локальная модель оставляет их на машине, а облачная получает то, что отправит агент.

Да, если вы выберете облачную модель: строки логов, которые агент помещает в промпт, уходят на её эндпоинт. С локальной моделью с компьютера ничего не уходит. Чаты, рабочие папки и API-ключи остаются на ПК, а секреты в выводе инструментов скрываются, прежде чем попасть к модели. Телеметрии нет.

Два шага. Скачайте установщик размером около 34 МБ, запустите для него certutil -hashfile и сравните значение SHA-256 с опубликованным манифестом. Есть и портативный одиночный .exe около 25 МБ. Windows SmartScreen может предупредить, потому что установщик пока не подписан цифровой подписью, так что продолжайте только после совпадения значений.