Windows 10/11
เฉพาะพีซี 64 บิต (x64)
เว็บไซต์อย่างเป็นทางการของ GoChannel Desk
Indicators of compromise: ค้นหาในล็อกของคุณเอง
GoChannel Desk 2.9.30 เป็นเอเจนต์บน Windows ที่เขียนรายการ IOC จากรายงาน ค้นหารายการนั้นในสำเนาล็อกของคุณเอง และแสดงทุกขั้นตอนเป็นการ์ดให้คุณตรวจสอบได้
ค้นหาในสำเนาล็อกทุกที่อยู่และโดเมนใน iocs.txt แล้วเขียนบันทึกผลที่พบ
- list_dir
logs-copyแสดงรายการไฟล์แล้ว - read_file
iocs.txtอ่านรายการแล้ว - grep
192.0.2.44 in logs-copyตรงกัน 3 รายการ - read_file
logs-copy/fw.logอ่านบริบทแล้ว - write_file
findings-note.mdบันทึกแล้ว
รอการอนุมัติจากคุณก่อนทำขั้นตอนถัดไปปฏิเสธยอมรับ
2.9.30
เผยแพร่เมื่อ 28 ตุลาคม 2569
ประมาณ 34 MB
ไฟล์แบบพกพาประมาณ 25 MB
ไม่ต้องมี
ไม่ต้องสมัครสมาชิกเพื่อใช้งาน
สามโหมด
Auto-run, Ask first, Plan only
ไม่มีเทเลเมทรี
แชตและคีย์อยู่บนเครื่องของคุณ
Indicators of compromise ที่คุณตรวจสอบได้บนพีซีของคุณเอง
Indicators of compromise คือร่องรอยที่การบุกรุกทิ้งไว้ เช่น แฮชของไฟล์ ที่อยู่ IP ชื่อโดเมน URL ชื่อไฟล์ คีย์รีจิสทรี และชื่อ scheduled task แต่ละอย่างเป็นเบาะแส เมื่อรายงานระบุสิ่งเหล่านี้ คุณก็ค้นหาทีละรายการในล็อกและไฟล์ที่คุณเป็นเจ้าของ เช่น เหตุการณ์ Security 4688 ที่บันทึกโพรเซสใหม่ การตรงกันเป็นเพียงเบาะแส ไม่ใช่คำตัดสิน
เปลี่ยนรายงานที่เผยแพร่เป็น iocs.txt
ให้ GoChannel Desk ค้นหารายงานที่เผยแพร่ด้วย web_search ดึงหน้าเว็บด้วย http_get แล้วใช้ write_file สร้าง iocs.txt ใหม่ที่มีตัวบ่งชี้หนึ่งรายการต่อบรรทัด IOC ที่นักวิจัยด้านความปลอดภัยเผยแพร่มักถูกทำให้ใช้งานไม่ได้ โดยใช้ hxxp แทน http และ [.] แทนจุด เพื่อไม่ให้ใครกดโดยไม่ตั้งใจ เอเจนต์จะคืนค่าให้อยู่ในรูปปกติ edit_file แสดง diff ของทุกการเปลี่ยนแปลง และ ocr อ่านข้อความเมื่อตารางมีแค่ภาพหน้าจอ ให้รันในโหมด Ask first และอ่านทุกบรรทัดของ md5 ที่อยู่ และโดเมนก่อนยอมรับ
บันทึกการทำงานของเครื่องมือ
web_search published advisory → results found
http_get advisory page → page read
write_file iocs.txt → saved
edit_file iocs.txt → diff shownค้นหาตัวบ่งชี้ทุกรายการในสำเนาล็อก
ก่อนอื่นให้คัดลอกล็อกไฟร์วอลล์และ DNS ที่ส่งออกแล้วไปไว้ในโฟลเดอร์ทำงาน เพื่อให้ไฟล์ต้นฉบับไม่ถูกแตะต้อง list_dir และ glob ค้นหาไฟล์ล็อก จากนั้น grep จะค้นหาทุกที่อยู่และโดเมนจาก iocs.txt ในไฟล์เหล่านั้น ทุกครั้งที่พบคือเบาะแส read_file เปิดล็อกรอบ ๆ จุดที่พบ คุณจึงเห็นบรรทัดก่อนและหลังพร้อมเวลา และตัดสินได้ว่าการเชื่อมต่อมาจากเครื่องที่คุณรู้จักหรือไม่ เลือก Plan only เพื่ออ่านการค้นหาก่อน แล้วตรวจ 3 รายการแรกที่พบด้วยตัวเองก่อนจดบันทึกอะไรก็ตาม
บันทึกการทำงานของเครื่องมือ
list_dir logs-copy → files listed
glob *.log → logs found
grep 192.0.2.44 → 3 matches
read_file logs-copy/fw.log → context readแฮชไฟล์แทนการเปิดไฟล์
อย่าเปิดไฟล์ ให้ระบุไฟล์น่าสงสัยจากแฮชแทน: Shell รัน certutil -hashfile กับสำเนาของไฟล์ โดยใช้ชนิดแฮชเดียวกับรายการของคุณ และรายงานรหัสออกจริง ส่วน grep ค้นหาค่า md5 ที่พิมพ์ออกมาใน iocs.txt แฮชที่ตรงกันเป็นเบาะแส แต่แฮชที่ต่างกันพิสูจน์อะไรได้น้อย เพราะการสร้างไฟล์ใหม่ทุกครั้งทำให้แฮชเปลี่ยน findstr ค้นหาค่าเดียวกันในไฟล์ข้อความที่ส่งออกได้ ใช้ Plan only เพื่ออ่านคำสั่งก่อนรัน และจำไว้ว่า Ask first จะหยุดเฉพาะก่อนการกระทำที่เปลี่ยนแปลงบางสิ่งเท่านั้น
เขียนสรุปสิ่งที่คุณพบ
AI ช่วยงานนิติวิทยาศาสตร์ดิจิทัลได้ แต่ยังต้องให้คนอ่านหลักฐานและตัดสินว่าผลที่ตรงกันหมายความว่าอะไร task รันเอเจนต์ย่อยแบบขนานบนโฟลเดอร์ล็อกที่แยกกันได้ และ write_file บันทึกบันทึกผลที่พบพร้อมตัวบ่งชี้ ไฟล์ บรรทัด และเวลาของแต่ละรายการ รวมถึงบรรทัดเหตุการณ์ Security 4625 ที่ตรงกัน เมื่อแชร์ ให้คัดลอกแต่ละตัวบ่งชี้เป็น IOC ที่ถูกทำให้ใช้งานไม่ได้: hxxp ใน URL และ [.] ในที่อยู่และโดเมน หากผลที่พบดูเป็นของจริง ให้ทำตามแผนรับมือเหตุการณ์ของคุณ: แยกเครื่องออก เก็บหลักฐาน และแจ้งทีมความปลอดภัย แอปนี้ไม่ลบมัลแวร์
ต่างจากผู้ช่วยแชตอย่างไร
ผู้ช่วยแชตมักอธิบายขั้นตอนเท่านั้น GoChannel Desk 2.9.30 รันการค้นหาเองและแสดงแต่ละรายการเป็นการ์ดพร้อมผลลัพธ์จริง คุณจึงตรวจสอบเอาต์พุตจริง ไม่ใช่คำอธิบาย
| ผู้ช่วยแชตทั่วไป | GoChannel Desk | |
|---|---|---|
| การค้นหาในล็อก | แนะนำคำสั่งแล้วให้คุณรันเอง | รัน grep กับสำเนาล็อกและแสดงรายการที่ตรงกัน |
| การตรวจแฮช | อธิบายวิธีแฮชไฟล์ | รัน certutil กับไฟล์และรายงานรหัสออกจริง |
| รายการ IOC | พิมพ์รายการในหน้าต่างแชต | เขียน iocs.txt และแสดง diff ของทุกการแก้ไข |
| การควบคุม | คุณรันทุกขั้นตอนเอง | Ask first หยุดก่อนการเปลี่ยนแปลง; Plan only ไม่เปลี่ยนอะไรเลย |
ทำงานอย่างไร
- ติดตั้ง GoChannel Desk บน Windows 10 หรือ 11 และเทียบ checksum SHA-256 ของตัวติดตั้งกับ manifest ที่เผยแพร่
- เชื่อมต่อโมเดล ได้แก่ ผู้ให้บริการคลาวด์ โมเดลบนพีซีของคุณ หรือโมเดลในตัว แล้วกด Test
- เลือกโฟลเดอร์ทำงานที่มีสำเนาล็อกของคุณและรายการ iocs.txt
- อธิบายการค้นหา เลือก Ask first หรือ Plan only และตรวจทุกการ์ดและ diff ก่อนยอมรับ
ใครใช้และใช้เมื่อไหร่
กลุ่มแรกคือนักศึกษาและนักป้องกันที่เรียนรู้ด้วยตนเอง ซึ่งฝึกบนพีซีแล็บของตัวเอง แค่ไฟล์ข้อความก็พอ ใครที่กำลังศึกษาประกาศเตือนเรื่อง indicators of compromise in cyber security สามารถวางรายการลงใน iocs.txt แล้วค้นหาในสำเนาล็อกของตัวเอง รวมถึงเหตุการณ์ 4625 ที่เป็นการล็อกอินล้มเหลว โดยไม่ต้องเขียนสคริปต์ก่อน
กลุ่มที่สองคือผู้ดูแลระบบของทีมเล็กที่ได้รับหน้าที่ด้านความปลอดภัยมาโดยไม่ทันตั้งตัว รายงานมาถึงโดยไม่มีสัญญาณเตือน ผู้ดูแลที่ค้นหาร่องรอยการบุกรุกมักต้องการรายการง่าย ๆ ไว้ตรวจกับเซิร์ฟเวอร์สำนักงานหนึ่งเครื่องหรือเวิร์กสเตชันไม่กี่เครื่อง พร้อมบันทึกผลที่พบส่งต่อให้ผู้รับมือเหตุการณ์
นักวิเคราะห์ในทีมความปลอดภัยใช้เป็นสมุดร่างสำหรับการค้นหารอบแรกก่อนย้ายไปใช้ชุดเครื่องมือเต็มรูปแบบได้ อินเทอร์เฟซรองรับ 13 ภาษา แอปไม่ตรวจจับภัยคุกคามแบบเรียลไทม์และไม่ใช่ฟีดข่าวกรองภัยคุกคาม จึงทำงานควบคู่กับระบบเฝ้าระวังของคุณ ไม่ได้มาแทนที่
คำถามที่พบบ่อยเกี่ยวกับ IOC
Indicators of compromise คืออะไร
คือหลักฐานที่บ่งชี้ว่าระบบอาจถูกบุกรุกหรือติดเชื้อ เช่น แฮชของไฟล์ ที่อยู่ IP ชื่อโดเมน URL ชื่อไฟล์ คีย์รีจิสทรี หรือผู้ส่งอีเมล IOC เป็นคำย่อ ผู้ป้องกันค้นหาสิ่งเหล่านี้หลังมีการรายงานภัยคุกคาม และการตรงกันหมายถึงให้สืบสวนต่อ ไม่ใช่ยืนยันว่าถูกบุกรุก
gocodesy.com เป็นเว็บไซต์อย่างเป็นทางการของ GoChannel Desk หรือไม่
ใช่ gocodesy.com คือเว็บไซต์อย่างเป็นทางการของ GoChannel Desk ดาวน์โหลดไฟล์ต้นฉบับจากเว็บไซต์นี้ และเทียบ checksum SHA-256 กับ manifest ที่เผยแพร่ก่อนรัน อย่าข้าม checksum เด็ดขาด ส่งคำถามผ่านปุ่ม Send feedback ภายในแอป
IOC ในความมั่นคงปลอดภัยไซเบอร์เหมือนกับตัวบ่งชี้การโจมตีหรือไม่
ไม่ IOC บันทึกร่องรอยที่พบ เช่น แฮชหรือโดเมน ส่วนตัวบ่งชี้การโจมตีอธิบายพฤติกรรม เช่น โปรแกรมที่เริ่มทำงานในเวลาแปลก ๆ ทั้งสองเป็นเบาะแสให้สืบสวน และไม่มีอย่างใดพิสูจน์การบุกรุกได้ด้วยตัวเอง
ถ้าค้นหาแล้วไม่พบอะไรแปลว่าระบบของฉันสะอาดหรือไม่
ไม่ การค้นหาพบเฉพาะสิ่งที่อยู่ในล็อกที่คุณให้และตัวบ่งชี้ที่คุณระบุ การไม่พบเลยจึงไม่เคยพิสูจน์ว่าระบบสะอาด ผู้โจมตีเปลี่ยนที่อยู่และโดเมนบ่อย และไฟล์ที่สร้างใหม่ก็มีแฮชต่างออกไป
GoChannel Desk ตรวจจับภัยคุกคามแบบเรียลไทม์ได้ไหม
ไม่ได้ GoChannel Desk ไม่ใช่เครื่องมือเฝ้าระวังและไม่ใช่ฟีดข่าวกรองภัยคุกคาม ทำงานกับล็อกที่ส่งออกและไฟล์ที่คุณเป็นเจ้าของเมื่อคุณสั่ง ไม่สแกนเครือข่ายอื่นเลย และไม่ลบมัลแวร์ด้วยตัวเอง
ค้นหาล็อกอะไรได้บ้าง
ล็อกที่คุณส่งออกและคัดลอกไว้ในโฟลเดอร์ทำงาน ได้แก่ ล็อกไฟร์วอลล์ DNS พร็อกซี เว็บเซิร์ฟเวอร์ และแอปพลิเคชัน รวมถึง Windows Event Log ที่ส่งออกเป็นข้อความหรือ CSV เหตุการณ์ที่มีประโยชน์ เช่น 4624 และ 4625 สำหรับการล็อกอิน 4688 สำหรับโพรเซสใหม่ 4698 สำหรับ scheduled task และ 7045 สำหรับบริการที่ติดตั้ง ทำงานกับสำเนาเท่านั้น
GoChannel Desk ส่งล็อกของฉันไปที่ไหนหรือไม่
ส่ง หากคุณเลือกโมเดลคลาวด์ บรรทัดล็อกที่เอเจนต์ใส่ในพรอมต์จะถูกส่งไปยังเอนด์พอยต์นั้น หากใช้โมเดลในเครื่อง จะไม่มีอะไรออกจากเครื่อง แชต โฟลเดอร์ทำงาน และคีย์ API อยู่บนพีซีของคุณ และข้อมูลลับในเอาต์พุตของเครื่องมือจะถูกปกปิดก่อนถึงโมเดล ไม่มีเทเลเมทรี
ลองกับสำเนาล็อกของคุณ
ดาวน์โหลดเวอร์ชัน 2.9.30 สำหรับ Windows 10 หรือ 11 แล้วลองกับสำเนาล็อกของคุณเอง โดยเริ่มจากโหมด Plan only เพื่ออ่านทุกการค้นหาก่อนรัน ตัวติดตั้งมีขนาดประมาณ 34 MB
ดาวน์โหลด GoChannel Desk สำหรับ Windows ↗หน้าที่ควรเปิดต่อไป
ทุกหน้ามีให้อ่านใน 20 ภาษา
GoChannel Desk ทำอะไรกับไฟล์ของคุณได้บ้าง ↗ เชื่อมต่อโมเดลคลาวด์ โมเดลในเครื่อง หรือโมเดลในตัว ↗ คู่มือการค้นหา IOC ทีละขั้นตอน ↗ ดาวน์โหลดและตรวจสอบตัวติดตั้ง ↗ คำถามเกี่ยวกับ IOC และแอป ↗ อะไรบ้างที่อยู่บนพีซีของคุณ ↗
