Indicators of compromise definition ve sık sorulan sorular

IOC, bir sistemin ihlal edilmiş ya da enfekte olmuş olabileceğini düşündüren bir kanıttır: dosya hash'i, IP adresi, alan adı, URL, dosya adı, kayıt defteri anahtarı veya zamanlanmış görev adı. Eşleşme “incele” demektir. Tek başına asla bir ihlali doğrulamaz.

Fidye yazılımının sahibi olduğun bir sistemde bıraktığı izlerdir: birçok klasörde beliren fidye notu metin dosyaları, kısa sürede yeni bir uzantıyla yeniden adlandırılan çok sayıda dosya ve silinen yedekler ya da gölge kopyalar. Her birini acil say ve olay müdahale planını izle.

Dört yaygın kaynak var: bültenler ve olay raporları, kendi geçmiş olayların, STIX gibi tehdit paylaşım biçimleri ve bir metin dosyasına yapıştırılmış notlar. Tarih önemlidir. Tehdit avı için güvenilir IOC kaynaklarını tercih et ve her kaydın tarihine bak, çünkü adresler ve alan adları hızla bayatlar.

IOC, hash ya da alan adı gibi bir kalıntının görüldüğünü söyler; saldırı göstergesi ise bir programın alışılmadık bir saatte başlaması gibi davranışı anlatır. Hash'ler her yeniden derlemede değişir. Pyramid of Pain, göstergeleri saldırganın onları değiştirmesinin ne kadar zor olduğuna göre sıralar.

Evet, gocodesy.com GoChannel Desk'in resmi web sitesidir. Özgün sürümü bu siteden indir ve çalıştırmadan önce SHA-256 sağlama toplamını yayımlanmış manifestle karşılaştır. Bu adımı atlamak hatadır. Sorularını uygulamadaki Send feedback düğmesiyle iletebilirsin.

Hayır. Bir arama yalnızca verdiğin loglardakini ve listedekini gösterir; bu yüzden kabul etmeden önce her eşleşmeyi bağlamı içinde, her diff'i de dikkatle okumalısın. Sonuçlar bir şeyleri kaçırabilir. Temiz bir arama bir sistemin temiz olduğunu asla kanıtlamaz ve GoChannel Desk eksiksiz sonuç vaat etmez.

Evet, sahibi olduğun ya da incelemeye yetkili olduğun log ve dosyalarda. Yalnızca kopyaları kullan. Geçmiş bir olayı ya da bir laboratuvar bilgisayarının loglarını küçük bir gerçek dijital adli bilişim vaka çalışması olarak yeniden oynatabilirsin; ajan arar ve not yazar, sonuçları sen çıkarırsın.

Hayır. Bir uzman bir eşleşmenin ne anlama geldiğine karar verir, kanıtı korur ve güvenlik ekibinle konuşur. GoChannel Desk yalnızca aramaları çalıştırır ve bir insanın sonra kontrol ettiği not taslakları yazar. Tehditleri gerçek zamanlı tespit etmez ve bir tehdit istihbaratı akışı değildir.

Üç seçenek var: standart bir API uç noktası üzerinden bir bulut yapay zekâ sağlayıcısı, kendi bilgisayarında çalışan bir model ya da yerleşik model. Loglar IP adresleri ve kullanıcı adları gibi kişisel veriler içerir; yerel model bunları makinede tutar, bulut modeli ise ajanın gönderdiğini alır.

Bulut modeli seçersen evet: ajanın isteme koyduğu log satırları o uç noktaya gönderilir. Yerel modelde hiçbir şey makineden çıkmaz. Sohbetler, çalışma klasörleri ve API anahtarları bilgisayarında kalır; araç çıktısındaki gizli bilgiler modele ulaşmadan önce maskelenir. Telemetri yoktur.

İki adım. Yaklaşık 34 MB'lık kurulum programını indir, sonra üzerinde certutil -hashfile çalıştır ve SHA-256 değerini yayımlanmış manifestle karşılaştır. Yaklaşık 25 MB'lık taşınabilir tek bir .exe de vardır. Kurulum dosyası henüz kod imzalı olmadığı için Windows SmartScreen uyarabilir; değerler eşleştikten sonra devam et.