Dosyalarını okur
read_file, grep ve glob, sohbetin çalışma klasöründeki log kopyalarını ve iocs.txt dosyasını açıp tarar.
Ürün
Indicators of compromise examples: ajanın arayabilecekleri
01
Indicators of compromise examples kolayca gözünün önüne gelir: bir rapordaki dosya hash'i, güvenlik duvarı logundaki bir IP adresi, DNS logundaki bir alan adı ya da senin oluşturmadığın bir zamanlanmış görev. Her biri loglarında aradığın bir izdir. GoChannel Desk bunları kendi dosyalarının kopyalarında arar ve her sonucu bir kart olarak gösterir.
Komutlarını çalıştırır
Shell, certutil ve findstr gibi komutları çalıştırır ve gerçek çıkış kodunu bildirir; tehlikeli komutlar engellenir.
Değiştirmeden önce sorar
Ask first, bir şeyi değiştiren her eylemden önce durur; Plan only adımları listeler ve hiçbir şeyi değiştirmez.
Ajanın IOC işi için yaptıkları
- Dosyalarread_file logları okur, write_file iocs.txt dosyasını oluşturur, edit_file onu diff ile değiştirir; grep ve glob çalışma klasöründeki eşleşmeleri bulur.
- Shellcertutil -hashfile ile bir dosyanın hash'ini almak ya da findstr ile metin aramak gibi kendi komutlarını çalıştırır ve gerçek çıkış kodunu bildirir.
- Webweb_search ve http_get yayımlanmış bültenleri ve olay raporlarını okur; böylece göstergeleri kendi listene kopyalayabilirsin.
- Ekran görüntüleri ve görsellerocr bir ekran görüntüsündeki metni okur; örneğin yalnızca resim olarak yayımlanmış bir gösterge tablosunu.
- Orkestrasyontask ayrı log klasörlerinde paralel alt ajanlar çalıştırır, skill yeniden kullanılabilir bir oyun kitabı tutar, run_on_model zor bir adımı daha büyük bir modele gönderir.
- Onay modlarıAuto-run hemen eyleme geçer, Ask first her değişiklikten önce durur, Plan only hiçbir şey çalıştırmadan aramaları listeler.
- Cronbir istemi zamanlamaya göre çalıştırır; örneğin klasöre kopyaladığın yeni bir log dışa aktarımında haftalık arama.
- Modellerbir bulut yapay zekâ sağlayıcısı, kendi bilgisayarındaki bir model ya da yerleşik modeli bağla ve uç noktayı kontrol etmek için Test düğmesine bas.
Liste için düz metin iyi bir başlangıçtır
Indicators of compromise list dosyan, bir klasörde tutulan olay başına tek bir düz metin dosyası olabilir. Düz metin yeterlidir. Ajan onu diff'lerle düzenler ve istemler yalnızca seçtiğin model uç noktasına gider.
incident-note.txt dosyasını ve table-screenshot.png içindeki tabloyu oku, adresleri, alan adlarını ve hash'leri iocs.txt dosyasına yaz, dosyayı düzenle ve her değeri nottaki bilgiyle karşılaştır.
- read_file
incident-note.txtnot okundu - ocr
table-screenshot.pngmetin okundu - write_file
iocs.txtkaydedildi - edit_file
iocs.txtdiff gösterildi - grep
192.0.2.44 in incident-note.txt1 eşleşme
Sonraki adımdan önce onayın bekleniyorReddetKabul et
İki uygulamalı örnek
Dağınık notlardan temiz bir listeye
Bir olaydan sonra serbest biçimli notlar yaygındır; bu yüzden ajan kaba bir IOC ayrıştırıcısı gibi davranabilir: read_file notu açar, grep adres, hash ya da alan adına benzeyen her şeyi bulur, write_file de ilk iocs.txt dosyasını kaydeder. Bu bir taslaktır. Bir cihaz olağandışı davrandığında, loglarından toplanan göstergeler aynı listeye eklenebilir. Security 4698 olayındaki bir görev adı ya da geçici klasördeki bir dosya adı gibi değerler insan gözü ister; bu yüzden ajandan her değerin nereden geldiğini söyleyen bir yorum satırı eklemesini iste. Ask first modunda çalıştır, diff'i satır satır oku ve ortamında yalnızca olağan bir ad olan her şeyi çıkar.
Listeyi kontrol et, sonra paylaş
iocs.txt içindeki her satır için log kopyalarında grep çalıştır ve write_file ile yanına bir bulgu notu kaydettir. Ekibin zenginleştirme ve tehdit avı için IOC paylaşıyorsa, ham logları değil, yalnızca gözden geçirilmiş ve etkisizleştirilmiş listeyi ilet. GoChannel Desk bir vaka yönetim sistemi değildir: klasörüne bir bulgu notu yazar, gerçek vaka kaydı ekibinin tuttuğu yerde kalır. Rutini önce 192.0.2.x aralığı gibi zararsız dokümantasyon değerleriyle dene ve gerçek bir olaya güvenmeden önce beliren her kartı oku.
GoChannel Desk'in yapmadıkları
GoChannel Desk bir Windows uygulamasıdır; barındırılan bir hizmet ya da eklenti değildir. Yalnızca kendi dosyalarında, kendi bilgisayarında ve incelemeye yetkili olduğun sunucularda kullan; sahibi olmadığın sistemlerde, hesaplarda veya verilerde asla. Sonuçlar yanlış olabilir. Güvenmeden önce her sonucu gözden geçir.
