อ่านไฟล์ของคุณ
read_file, grep และ glob เปิดและค้นหาสำเนาล็อกและ iocs.txt ในโฟลเดอร์ทำงานของแชต
ผลิตภัณฑ์
Indicators of compromise examples ที่เอเจนต์ค้นหาได้
01
Indicators of compromise examples นึกภาพได้ไม่ยาก เช่น แฮชของไฟล์จากรายงาน ที่อยู่ IP ในล็อกไฟร์วอลล์ โดเมนในล็อก DNS หรือ scheduled task ที่คุณไม่เคยสร้าง แต่ละอย่างคือร่องรอยที่คุณค้นหาในล็อกของคุณ GoChannel Desk ค้นหาสิ่งเหล่านี้ในสำเนาไฟล์ของคุณเองและแสดงทุกผลลัพธ์เป็นการ์ด
รันคำสั่งของคุณ
Shell รันคำสั่งอย่าง certutil และ findstr และรายงานรหัสออกจริง คำสั่งอันตรายจะถูกบล็อก
ถามก่อนเปลี่ยนแปลง
Ask first หยุดก่อนการกระทำใดที่เปลี่ยนแปลงบางสิ่ง และ Plan only แสดงรายการขั้นตอนโดยไม่เปลี่ยนอะไร
เอเจนต์ทำอะไรให้งาน IOC บ้าง
- ไฟล์read_file อ่านล็อก write_file สร้าง iocs.txt edit_file แก้ไขพร้อม diff และ grep กับ glob ค้นหารายการที่ตรงกันในโฟลเดอร์ทำงาน
- Shellรันคำสั่งของคุณเอง เช่น certutil -hashfile เพื่อแฮชไฟล์ หรือ findstr เพื่อค้นหาข้อความ และรายงานรหัสออกจริง
- เว็บweb_search และ http_get อ่านประกาศเตือนและรายงานเหตุการณ์ที่เผยแพร่ เพื่อให้คุณคัดลอกตัวบ่งชี้ไปไว้ในรายการของตัวเอง
- ภาพหน้าจอและรูปภาพocr อ่านข้อความจากภาพหน้าจอ เช่น ตารางตัวบ่งชี้ที่เผยแพร่เป็นภาพเท่านั้น
- การประสานงานtask รันเอเจนต์ย่อยแบบขนานบนโฟลเดอร์ล็อกที่แยกกัน skill เก็บ playbook ที่ใช้ซ้ำได้ และ run_on_model ส่งขั้นตอนยาก ๆ ไปยังโมเดลที่ใหญ่กว่า
- โหมดอนุมัติAuto-run ทำทันที Ask first หยุดก่อนทุกการเปลี่ยนแปลง และ Plan only แสดงรายการการค้นหาโดยไม่รันอะไร
- Cronรันพรอมต์ตามกำหนดเวลา เช่น ค้นหารายสัปดาห์ในล็อกที่ส่งออกใหม่ซึ่งคุณคัดลอกไว้ในโฟลเดอร์
- โมเดลเชื่อมต่อผู้ให้บริการ AI บนคลาวด์ โมเดลบนพีซีของคุณ หรือโมเดลในตัว แล้วกด Test เพื่อตรวจสอบเอนด์พอยต์
ข้อความธรรมดาเป็นจุดเริ่มต้นที่ดีสำหรับรายการ
indicators of compromise list ของคุณเป็นไฟล์ข้อความธรรมดาหนึ่งไฟล์ต่อหนึ่งเหตุการณ์ที่เก็บไว้ในโฟลเดอร์ได้ ข้อความธรรมดาก็เพียงพอ เอเจนต์แก้ไขพร้อม diff และพรอมต์จะไปยังเอนด์พอยต์ของโมเดลที่คุณเลือกเท่านั้น
อ่าน incident-note.txt และตารางใน table-screenshot.png เขียนที่อยู่ โดเมน และแฮชลงใน iocs.txt จัดระเบียบไฟล์ และตรวจแต่ละค่ากับบันทึก
- read_file
incident-note.txtอ่านบันทึกแล้ว - ocr
table-screenshot.pngอ่านข้อความแล้ว - write_file
iocs.txtบันทึกแล้ว - edit_file
iocs.txtแสดง diff แล้ว - grep
192.0.2.44 in incident-note.txtตรงกัน 1 รายการ
รอการอนุมัติจากคุณก่อนทำขั้นตอนถัดไปปฏิเสธยอมรับ
ตัวอย่างการใช้งานจริงสองตัวอย่าง
จากบันทึกที่กระจัดกระจายเป็นรายการที่เรียบร้อย
หลังเกิดเหตุการณ์ บันทึกมักเขียนแบบอิสระ เอเจนต์จึงทำหน้าที่เป็นตัวแยกวิเคราะห์ IOC อย่างหยาบได้: read_file เปิดบันทึก grep ค้นหาสิ่งที่ดูเหมือนที่อยู่ แฮช หรือโดเมน และ write_file บันทึก iocs.txt ฉบับแรก นี่เป็นเพียงฉบับร่าง เมื่ออุปกรณ์แสดงพฤติกรรมผิดปกติ ตัวบ่งชี้ที่รวบรวมจากล็อกของอุปกรณ์นั้นก็เพิ่มลงในรายการเดียวกันได้ ค่าอย่างชื่อ task จากเหตุการณ์ Security 4698 หรือชื่อไฟล์ในโฟลเดอร์ชั่วคราวต้องให้คนตรวจ จึงควรให้เอเจนต์เพิ่มบรรทัดคอมเมนต์ระบุที่มาของแต่ละค่า รันใน Ask first อ่าน diff ทีละบรรทัด และลบสิ่งที่เป็นเพียงชื่อปกติในสภาพแวดล้อมของคุณออก
ตรวจรายการ แล้วจึงแชร์
รัน grep กับสำเนาล็อกของคุณสำหรับทุกบรรทัดใน iocs.txt แล้วให้ write_file บันทึกผลที่พบไว้ข้างกัน หากทีมของคุณแชร์ IOC เพื่อเพิ่มบริบทและล่าภัยคุกคาม ให้ส่งต่อเฉพาะรายการที่ตรวจแล้วและถูกทำให้ใช้งานไม่ได้ ห้ามส่งล็อกดิบ GoChannel Desk ไม่ใช่ระบบจัดการเคส มันเขียนบันทึกผลที่พบลงในโฟลเดอร์ของคุณ ส่วนบันทึกเคสจริงอยู่ที่ที่ทีมของคุณเก็บไว้ ทดลองขั้นตอนนี้กับค่าเอกสารที่ไม่เป็นอันตรายก่อน เช่น ช่วง 192.0.2.x และอ่านทุกการ์ดที่ปรากฏก่อนไว้ใจกับเหตุการณ์จริง
สิ่งที่ GoChannel Desk ไม่ทำ
GoChannel Desk เป็นแอป Windows ไม่ใช่บริการที่โฮสต์ไว้หรือปลั๊กอิน ใช้กับไฟล์ของคุณเอง พีซีของคุณ และเซิร์ฟเวอร์ที่คุณได้รับอนุญาตให้ตรวจสอบเท่านั้น และห้ามใช้กับระบบ บัญชี หรือข้อมูลที่คุณไม่ได้เป็นเจ้าของ ผลลัพธ์อาจผิดพลาดได้ ตรวจทุกผลลัพธ์ก่อนพึ่งพา
