GoChannel Desk
เวิร์กโฟลว์

Indicators of compromise tools: ค้นหา IOC ทีละขั้นตอน

03
สถานการณ์

ตรวจล็อกของคุณกับรายงาน IOC ฉบับใหม่

รายงานฉบับใหม่ระบุที่อยู่ โดเมน และแฮช และคุณอยากรู้ว่ามีรายการใดปรากฏในล็อกของคุณเองหรือไม่ เมื่อค้นหา IOC ให้เลือกแหล่งที่เชื่อถือได้ เช่น ประกาศเตือนที่เผยแพร่ รายงานเหตุการณ์ และเหตุการณ์ในอดีตของคุณเอง และตรวจวันที่ของแต่ละรายการ เพราะรายการเก่าจะล้าสมัย คัดลอกล็อกก่อน จากนั้นให้เอเจนต์เปลี่ยนรายงานเป็นรายการ ค้นหาในสำเนา และเขียนเบาะแสทุกข้อไว้ให้คุณตรวจ

01

เปิดโฟลเดอร์ทำงาน

วางสำเนาล็อกและ iocs.txt ว่างไว้ในโฟลเดอร์ทำงานของแชต อย่าชี้เอเจนต์ไปที่ไฟล์ต้นฉบับเด็ดขาด

02

เติม iocs.txt

ให้เอเจนต์อ่านรายงานและเขียนตัวบ่งชี้ลงใน iocs.txt โดยคืนข้อความที่ถูกทำให้ใช้งานไม่ได้ให้อยู่ในรูปปกติ ตรวจ diff

03

ค้นหาในสำเนาล็อก

ใช้ Plan only เพื่อแสดงรายการค้นหาโดยไม่รัน Ask first หยุดก่อนการกระทำใดที่เปลี่ยนแปลงบางสิ่ง

04

ตรวจและจดผลลัพธ์

อ่านแต่ละรายการที่ตรงกันในบริบทด้วย read_file แล้วให้เอเจนต์เขียนบันทึกผลที่พบซึ่งระบุตัวบ่งชี้ ไฟล์ และบรรทัด

ตัวอย่าง iocs.txt

iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTask

รายการข้อความธรรมดา: บรรทัดคอมเมนต์ขึ้นต้นด้วยเครื่องหมายแฮช ส่วนทุกบรรทัดอื่นคือชนิดและค่า ค่าทั้งหมดเป็นตัวอย่างในเอกสารที่ไม่เป็นอันตราย และที่อยู่ hxxps ถูกทำให้ใช้งานไม่ได้แล้ว

แฮชไฟล์และเก็บ indicators of compromise database

แฮชไฟล์โดยไม่ต้องเปิด

เครื่องมือ indicators of compromise ที่คุณต้องใช้สองตัวมีอยู่ใน Windows แล้ว คือ certutil และ findstr คัดลอกไฟล์ที่น่าสงสัยไปไว้ในโฟลเดอร์ทำงาน แล้วให้ Shell รัน certutil -hashfile กับสำเนา Shell ยังรันเครื่องมือนิติวิทยาศาสตร์แบบบรรทัดคำสั่งที่คุณใช้อยู่แล้วได้ และรายงานรหัสออกจริงของแต่ละคำสั่ง จากนั้น grep ค้นหาค่าที่พิมพ์ออกมาใน iocs.txt และ findstr ทำแบบเดียวกันในไฟล์ข้อความที่ส่งออกได้ การตรงกันเป็นเบาะแส ไม่ใช่คำตัดสิน ใช้ Plan only เพื่ออ่านคำสั่งก่อนรัน และห้ามเปิดหรือรันตัวไฟล์เด็ดขาด

เก็บหนึ่งไฟล์ต่อหนึ่งเหตุการณ์

ฐานข้อมูลตัวบ่งชี้ขนาดเล็กอาจเป็นไฟล์ข้อความธรรมดาหรือ CSV หนึ่งไฟล์ต่อหนึ่งเหตุการณ์ในโฟลเดอร์ที่ทีมใช้ร่วมกัน ประกาศเตือนมักเพิ่มบริบทเกี่ยวกับ IOC เช่น พบที่ไหนในโลกจริงและผู้โจมตีใช้วิธีใดร่วมกับมัน ให้เอเจนต์เก็บบริบทนั้นเป็นบรรทัดคอมเมนต์เหนือค่า ใช้ edit_file จัดไฟล์ให้เรียบร้อยและอ่าน diff ไฟล์ธรรมดาตรวจทานง่าย ครั้งต่อไป ให้ค้นหาทั้งโฟลเดอร์ด้วย grep และเทียบรายการที่พบกับบันทึกก่อนหน้าก่อนตัดสินใจว่าจะรายงานอะไร บันทึกผลที่พบสามารถเรียงรายการตามเวลา และคุณตรวจลำดับนั้นกับล็อก

GoChannel Desk สำหรับ Windows

รันการค้นหา IOC ครั้งแรกบนสำเนาล็อก

ดาวน์โหลด GoChannel Desk ↗