Офіційний сайт GoChannel Desk

Indicators of compromise: пошук у власних логах

GoChannel Desk 2.9.30 — це агент для Windows: він складає список IOC зі звіту, шукає його в копіях ваших власних логів і показує кожен крок карткою, яку можна переглянути.

Завантажити GoChannel Desk ↗Дивитися посібник із пошуку IOC

GoChannel Desk · Перевірка логів на IOC● Ask first

Знайди в копіях логів кожну адресу й домен із iocs.txt та запиши нотатку з результатами.

list_dirlogs-copyфайли виведено
read_fileiocs.txtсписок прочитано
grep192.0.2.44 in logs-copy3 збіги
read_filelogs-copy/fw.logконтекст прочитано
write_filefindings-note.mdзбережено

Чекаємо вашого OK перед наступним крокомВідхилитиПрийняти

Платформа

Windows 10/11

Лише 64-бітні (x64) ПК

Версія

2.9.30

Випущено 8 листопада 2026 року

Інсталятор

Близько 34 МБ

Портативний файл — близько 25 МБ

Акаунт

Не потрібен

Для запуску реєстрація не потрібна

Режими

Три режими

Auto-run, Ask first, Plan only

Приватність

Без телеметрії

Чати й ключі залишаються на ПК

Основи IOC

Indicators of compromise, які можна перевірити на власному ПК

Indicators of compromise — це сліди, які залишає після себе зламування: хеші файлів, IP-адреси, доменні імена, URL, імена файлів, ключі реєстру й назви запланованих завдань. Кожен із них — підказка. Коли звіт називає такі ознаки, ви шукаєте кожну в логах і файлах, що належать вам, наприклад у події Security 4688, яка фіксує новий процес. Збіг — це зачіпка, а не вирок.

Перетворіть опублікований звіт на iocs.txt

Попросіть GoChannel Desk знайти опублікований звіт через web_search, завантажити сторінку через http_get і створити через write_file новий iocs.txt з одним індикатором у рядку. IOC, які публікують дослідники безпеки, часто «знешкоджені»: hxxp замість http і [.] замість крапки, щоб ніхто не клацнув їх випадково. Агент повертає звичайний вигляд. edit_file показує diff для кожної зміни, а ocr читає текст, якщо таблиця є лише знімком екрана. Працюйте в режимі Ask first і прочитайте кожен рядок із md5, адресою чи доменом, перш ніж прийняти.

Журнал викликів інструментів

web_search  published advisory  → results found
http_get  advisory page  → page read
write_file  iocs.txt  → saved
edit_file  iocs.txt  → diff shown

Шукайте кожен індикатор у копіях логів

Спершу скопіюйте експортовані логи фаєрвола й DNS у робочу теку, щоб оригінали лишилися недоторканими. list_dir і glob знаходять файли логів, а grep шукає в них кожну адресу й домен із iocs.txt. Кожен збіг — зачіпка. read_file відкриває лог навколо збігу, тож ви бачите рядки до і після нього з часовими мітками й можете оцінити, чи йшло з'єднання з відомої вам машини. Оберіть Plan only, щоб спершу прочитати пошукові запити, а тоді вручну перевірте перші 3 збіги, перш ніж щось записувати.

Журнал викликів інструментів

list_dir  logs-copy  → files listed
glob  *.log  → logs found
grep  192.0.2.44  → 3 matches
read_file  logs-copy/fw.log  → context read

Хешуйте файл, а не відкривайте його

Не відкривайте його. Підозрілий файл визначайте за хешем: Shell запускає certutil -hashfile для копії файлу з тим самим типом хеша, що й у вашому списку, і повідомляє справжній код завершення, а grep шукає в iocs.txt виведене значення md5. Збіг хеша — зачіпка, а інший хеш мало що доводить, бо будь-яке перезбирання файлу його змінює. findstr може шукати те саме значення в текстовому експорті. Скористайтеся Plan only, щоб прочитати команду до запуску, і пам'ятайте, що Ask first зупиняється лише перед діями, які щось змінюють.

Запишіть, що ви знайшли

ШІ може допомагати в цифровій криміналістиці, але докази все одно має прочитати людина, яка вирішує, що означає збіг. task може паралельно запускати субагентів на окремих теках із логами, а write_file зберігає нотатку з результатами: індикатор, файл, рядок і час, зокрема рядки події Security 4625, які збіглися. Коли ділитеся нею, копіюйте кожен індикатор у «знешкодженому» вигляді: hxxp в URL і [.] в адресах та доменах. Якщо збіг схожий на справжній, дійте за вашим планом реагування на інциденти: ізолюйте машину, збережіть докази й повідомте команду безпеки. Шкідливе ПЗ програма не видаляє.

Відкрити посібник із пошуку IOC

Чим він відрізняється від чат-асистента

Чат-асистенти зазвичай описують кроки. GoChannel Desk 2.9.30 сам виконує пошук і показує кожен крок карткою зі справжнім результатом, тож ви переглядаєте реальний вивід, а не опис.

	Типовий чат-асистент	GoChannel Desk
Пошук у логах	Пропонує команду й залишає запуск вам	Запускає grep по копіях логів і показує збіги
Перевірка хешів	Описує, як захешувати файл	Запускає certutil для файлу й повідомляє справжній код завершення
Список IOC	Друкує список у вікні чату	Записує iocs.txt і показує diff для кожної правки
Контроль	Кожен крок виконуєте ви самі	Ask first зупиняється перед змінами; Plan only нічого не змінює

Як це працює

Встановіть GoChannel Desk у Windows 10 чи 11 і порівняйте контрольну суму SHA-256 інсталятора з опублікованим маніфестом.
Підключіть модель: хмарного провайдера, модель на вашому ПК або вбудовану, а тоді натисніть Test.
Виберіть робочу теку з копіями ваших логів і списком iocs.txt.
Опишіть пошук, оберіть Ask first або Plan only і перегляньте кожну картку та diff, перш ніж прийняти.

Хто ним користується і коли

Перша група — студенти й самоуки, які тренуються на власних лабораторних ПК. Достатньо текстового файлу. Хто розбирає бюлетень про indicators of compromise in cyber security, може вставити його список в iocs.txt і шукати в копіях власних логів, зокрема події 4625 про невдалі входи, без попереднього написання скрипта.

Друга група — адміністратори малих команд, яким дісталися обов'язки з безпеки. Звіти приходять без попередження. Адміністратор, який шукає ознаки компрометації, зазвичай хоче простий список для перевірки одного офісного сервера чи кількох робочих станцій і нотатку з результатами для того, хто реагуватиме.

Аналітики команди безпеки можуть використовувати його як чернетку для перших пошуків, перш ніж перейти до повного інструментарію. Інтерфейс доступний 13 мовами. Він не виявляє загроз у реальному часі й не є стрічкою даних про загрози, тож працює поруч із вашим моніторингом, а не замість нього.

Поширені запитання про IOC

Що таке indicators of compromise?

Це свідчення того, що систему могли зламати чи заразити: хеш файлу, IP-адреса, доменне ім'я, URL, ім'я файлу, ключ реєстру або відправник листа. IOC — скорочена назва. Захисники шукають їх після повідомлення про загрозу, а збіг означає «розслідуйте», а не «злам підтверджено».

Чи gocodesy.com — офіційний сайт GoChannel Desk?

Так, gocodesy.com — офіційний сайт GoChannel Desk. Завантажуйте оригінальну збірку з цього сайту й перед запуском порівняйте її контрольну суму SHA-256 з опублікованим маніфестом. Ніколи не пропускайте перевірку суми. Запитання надсилайте кнопкою Send feedback у застосунку.

Чи IOC у кібербезпеці — це те саме, що індикатор атаки?

Ні. IOC фіксує артефакт, який бачили, наприклад хеш або домен, а індикатор атаки описує поведінку, скажімо, запуск програми в дивний час. Обидва — зачіпки для розслідування, і жоден сам по собі не доводить злам.

Чи чистий пошук означає, що моя система чиста?

Ні. Пошук знаходить лише те, що є в наданих логах і вашому списку індикаторів, тож нуль збігів ніколи не доводить, що система чиста. Зловмисники часто змінюють адреси й домени, а перезібраний файл має інший хеш.

Чи може GoChannel Desk виявляти загрози в реальному часі?

Ні. GoChannel Desk не є інструментом моніторингу чи стрічкою даних про загрози. Він працює з експортованими логами й файлами, що належать вам, коли ви про це просите, не сканує чужі мережі й сам не видаляє шкідливе ПЗ.

Які логи він може переглядати?

Ті, які ви експортували й скопіювали в робочу теку: логи фаєрвола, DNS, проксі, вебсервера й застосунків, а також Windows Event Log, експортований у текст або CSV. Корисні події: 4624 і 4625 для входів, 4688 для нових процесів, 4698 для запланованих завдань і 7045 для встановлених служб. Працюйте з копіями.

Чи надсилає GoChannel Desk мої логи кудись?

Так, якщо ви обираєте хмарну модель: рядки логів, які агент поміщає в запит, надсилаються на цю кінцеву точку. З локальною моделлю з машини нічого не виходить. Чати, робочі теки й API-ключі лишаються на ПК, а секрети у виводі інструментів приховуються до того, як потрапляють до моделі. Телеметрії немає.

Початок роботи

Спробуйте на копії своїх логів

Завантажте версію 2.9.30 для Windows 10 чи 11 і випробуйте її на копіях власних логів, почавши з режиму Plan only, щоб прочитати кожен пошук до запуску. Інсталятор важить близько 34 МБ.

Завантажити GoChannel Desk для Windows ↗

Які сторінки відкрити далі

Кожна сторінка доступна ще й 20 мовами.

Що GoChannel Desk може робити з вашими файлами ↗ Підключення хмарної, локальної чи вбудованої моделі ↗ Покроковий посібник із пошуку IOC ↗ Завантаження й перевірка інсталятора ↗ Запитання про IOC і застосунок ↗ Що залишається на вашому ПК ↗