Откройте рабочую папку
Положите копии ваших логов и пустой iocs.txt в рабочую папку чата. Никогда не направляйте агента на оригиналы.
Сценарии
Инструменты для индикаторов компрометации: поиск IOC шаг за шагом
03
Проверьте свои логи по новому отчёту об IOC
Новый отчёт перечисляет адреса, домены и хеши, и вы хотите узнать, встречается ли что-то из этого в ваших собственных логах. При поиске IOC отдавайте предпочтение надёжным источникам — опубликованным бюллетеням, отчётам об инцидентах и вашим прошлым инцидентам — и проверяйте дату каждой записи, потому что старые устаревают. Сначала скопируйте логи. Затем пусть агент превратит отчёт в список, поищет в копиях и запишет каждую зацепку на проверку.
Заполните iocs.txt
Попросите агента прочитать отчёт и записать индикаторы в iocs.txt, восстановив «defanged» текст. Проверьте diff.
Найдите совпадения в копиях логов
Plan only перечисляет поиски, не запуская их; Ask first останавливается перед любым действием, которое что-то меняет.
Проверьте и запишите результаты
Прочитайте каждое совпадение в контексте через read_file, затем попросите агента написать заметку с индикатором, файлом и строкой.
Пример iocs.txt
Найди в копиях логов каждый индикатор из iocs.txt и перечисли каждое совпадение с файлом и строкой.
- read_file
iocs.txtсписок прочитан - glob
logs-copy/*.logлоги найдены - grep
192.0.2.44 in logs-copy2 совпадения - read_file
logs-copy/dns.logконтекст прочитан
Ждёт вашего OK перед следующим шагомОтклонитьПринять
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskСписок в обычном тексте: строки комментариев начинаются со знака решётки, а каждая остальная строка — это тип и значение. Все значения — безобидные примеры из документации, а адрес hxxps записан в виде «defanged».
Считайте хеши файлов и ведите базу индикаторов компрометации
Посчитайте хеш файла, не открывая его
Два из нужных вам инструментов для индикаторов компрометации уже входят в Windows: certutil и findstr. Скопируйте подозрительный файл в рабочую папку и позвольте Shell запустить certutil -hashfile на копии. Shell умеет запускать и привычные вам криминалистические утилиты командной строки и сообщает настоящий код возврата каждой команды. Затем grep ищет в iocs.txt выведенное значение, а findstr может сделать то же самое в текстовом экспорте. Совпадение — зацепка, а не приговор. Используйте Plan only, чтобы прочитать команду до запуска, и никогда не открывайте и не запускайте сам файл.
Ведите один файл на инцидент
Небольшая база индикаторов компрометации может быть одним обычным текстовым или CSV-файлом на инцидент в папке, общей для команды. Бюллетени часто добавляют контекст об IOC: где его видели на практике и какие приёмы атакующий применял вместе с ним. Попросите агента сохранить этот контекст строкой-комментарием над значением. Используйте edit_file, чтобы привести файл в порядок, и прочитайте diff. Простые файлы легко проверять. В следующий раз ищите по всей папке через grep и сравнивайте совпадения с прежними заметками, прежде чем решать, о чём сообщать. Заметка с находками может перечислять совпадения по порядку времени, а порядок вы сверяете с логом.
