Примеры индикаторов компрометации, которые агент может искать

Что агент делает в работе с IOC

• Файлыread_file читает логи, write_file создаёт iocs.txt, edit_file меняет его с diff, а grep и glob находят совпадения в рабочей папке.
• Shellзапускает ваши собственные команды, например certutil -hashfile для хеша файла или findstr для поиска по тексту, и сообщает настоящий код возврата.
• Вебweb_search и http_get читают опубликованные бюллетени и отчёты об инцидентах, чтобы вы могли перенести индикаторы в собственный список.
• Скриншоты и изображенияocr считывает текст со скриншота, например таблицу индикаторов, опубликованную только картинкой.
• Оркестрацияtask запускает параллельных субагентов на отдельных папках с логами, skill хранит многоразовый сценарий, а run_on_model передаёт сложный шаг более крупной модели.
• Режимы подтвержденияAuto-run действует сразу, Ask first останавливается перед каждым изменением, а Plan only перечисляет поиски, ничего не запуская.
• Cronзапускает промпт по расписанию, например еженедельный поиск в свежем экспорте логов, который вы скопировали в папку.
• Моделиподключите облачного ИИ-провайдера, модель на собственном ПК или встроенную модель и нажмите Test, чтобы проверить эндпоинт.

Два разобранных примера

От разрозненных заметок к чистому списку

После инцидента часто остаются заметки в свободной форме, поэтому агент может работать как грубый парсер IOC: read_file открывает заметку, grep находит всё, что похоже на адрес, хеш или домен, а write_file сохраняет первый iocs.txt. Это черновик. Если устройство ведёт себя странно, индикаторы, собранные из его логов, можно добавить в тот же список. Значения вроде названия задачи из события безопасности 4698 или имени файла во временной папке требуют человеческого взгляда, поэтому попросите агента добавить строку-комментарий с источником каждого значения. Запустите в Ask first, прочитайте diff строка за строкой и уберите всё, что в вашей среде является просто обычным именем.

Проверьте список, а потом поделитесь им

Запустите grep по копиям своих логов для каждой строки iocs.txt и позвольте write_file сохранить рядом заметку с находками. Если ваша команда обменивается IOC для обогащения данных и поиска угроз, передавайте дальше только проверенный «defanged» список, но никогда не сырые логи. GoChannel Desk — не система учёта инцидентов: он пишет заметку с находками в вашу папку, а настоящая карточка дела остаётся там, где её ведёт ваша команда. Сначала отработайте процедуру на безобидных значениях из документации, например из диапазона 192.0.2.x, и читайте каждую карточку по мере появления, прежде чем доверять ей на настоящем инциденте.