Çalışma klasörünü aç
Log kopyalarını ve boş bir iocs.txt dosyasını sohbetin çalışma klasörüne koy. Ajanı asla orijinallere yönlendirme.
İş akışları
Indicators of compromise tools: adım adım IOC araması
03
Loglarını yeni bir IOC raporuna karşı kontrol et
Yeni bir rapor adresleri, alan adlarını ve hash'leri listeliyor; bunlardan herhangi birinin kendi loglarında geçip geçmediğini öğrenmek istiyorsun. IOC ararken yayımlanmış bültenler, olay raporları ve kendi geçmiş olayların gibi güvenilir kaynakları tercih et ve her kaydın tarihine bak, çünkü eskiler bayatlar. Önce logları kopyala. Sonra ajanın raporu listeye çevirmesine, kopyalarda aramasına ve her ipucunu incelemen için yazmasına izin ver.
iocs.txt dosyasını doldur
Ajandan raporu okumasını ve etkisizleştirilmiş metni normale döndürerek göstergeleri iocs.txt dosyasına yazmasını iste. Diff'i kontrol et.
Log kopyalarında ara
Aramaları çalıştırmadan listelemek için Plan only kullan; Ask first bir şeyi değiştiren her eylemden önce durur.
Sonuçları kontrol et ve not al
Her eşleşmeyi read_file ile bağlamı içinde oku, sonra ajana gösterge, dosya ve satırı listeleyen bir bulgu notu yazdır.
Örnek bir iocs.txt
Log kopyalarında iocs.txt içindeki her göstergeyi ara ve her eşleşmeyi dosyası ve satırıyla listele.
- read_file
iocs.txtliste okundu - glob
logs-copy/*.logloglar bulundu - grep
192.0.2.44 in logs-copy2 eşleşme - read_file
logs-copy/dns.logbağlam okundu
Sonraki adımdan önce onayın bekleniyorReddetKabul et
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskDüz metin bir liste: yorum satırları diyez işaretiyle başlar, diğer her satır bir tür ve bir değerdir. Tüm değerler zararsız dokümantasyon örnekleridir ve hxxps adresi etkisizleştirilmiştir.
Dosyaların hash'ini al ve bir indicators of compromise database tut
Bir dosyayı açmadan hash'ini al
İhtiyacın olan araçlardan ikisi zaten Windows'un parçası: certutil ve findstr. Şüpheli dosyayı çalışma klasörüne kopyala ve Shell'in kopya üzerinde certutil -hashfile çalıştırmasına izin ver. Shell, zaten kullandığın komut satırı adli bilişim araçlarını da çalıştırabilir ve her komutun gerçek çıkış kodunu bildirir. Ardından grep yazdırılan değeri iocs.txt içinde arar, findstr da bir metin dışa aktarımında aynısını yapabilir. Eşleşme bir ipucudur, hüküm değil. Komutu çalışmadan önce okumak için Plan only kullan ve dosyanın kendisini asla açma ya da çalıştırma.
Olay başına bir dosya tut
Küçük bir gösterge veritabanı, ekibinin paylaştığı bir klasörde olay başına tek bir düz metin ya da CSV dosyası olabilir. Bültenler bir IOC hakkında sıkça bağlam ekler: doğada nerede görüldüğü ve saldırganın onunla hangi yöntemleri kullandığı. Ajandan bu bağlamı değerin üstünde bir yorum satırı olarak tutmasını iste. Dosyayı düzenlemek için edit_file kullan ve diff'i oku. Düz dosyaları incelemek kolaydır. Bir dahaki sefere tüm klasörde grep ile ara ve neyi raporlayacağına karar vermeden önce isabetleri önceki notlarınla karşılaştır. Bulgu notu isabetleri zaman sırasıyla listeleyebilir, sen de bu sırayı logla karşılaştırırsın.
