Indicators of compromise definition і поширені запитання

IOC — це свідчення, що систему могли зламати чи заразити: хеш файлу, IP-адреса, доменне ім'я, URL, ім'я файлу, ключ реєстру або назва запланованого завдання. Збіг означає «розслідуйте». Сам по собі він ніколи не підтверджує злам.

Це сліди, які програма-вимагач лишає в системі, що вам належить: текстові файли з вимогою викупу в багатьох теках, багато файлів, перейменованих із новим розширенням за короткий час, і видалені резервні копії чи тіньові копії. Ставтеся до кожного як до термінового й дійте за планом реагування на інциденти.

Чотири поширені джерела: бюлетені та звіти про інциденти, ваші власні минулі інциденти, формати обміну даними про загрози на кшталт STIX і нотатки, вставлені в текстовий файл. Дати мають значення. Віддавайте перевагу надійним джерелам IOC для пошуку загроз і перевіряйте дату кожного запису, бо адреси й домени швидко застарівають.

IOC каже, що артефакт бачили, наприклад хеш чи домен, а індикатор атаки описує поведінку, скажімо, запуск програми в дивний час. Хеші змінюються після будь-якого перезбирання. Pyramid of Pain впорядковує індикатори за тим, наскільки важко їх змінити атакувальнику.

Так, gocodesy.com — офіційний сайт GoChannel Desk. Завантажуйте оригінальну збірку з цього сайту й перед запуском порівняйте її контрольну суму SHA-256 з опублікованим маніфестом. Пропускати цей крок — помилка. Запитання надсилайте кнопкою Send feedback у застосунку.

Ні. Пошук показує лише те, що є в логах і списку, які ви йому дали, тож кожен збіг треба читати в контексті, а кожен diff — перевіряти перед прийняттям. Результати можуть щось пропустити. Чистий пошук ніколи не доводить, що система чиста, і GoChannel Desk не обіцяє повних результатів.

Так, на логах і файлах, що належать вам або які ви маєте право перевіряти. Використовуйте лише копії. Ви можете відтворити минулий інцидент чи логи лабораторного ПК як невеликий реальний кейс із цифрової криміналістики: агент шукає й пише нотатки, а висновки робите ви.

Ні. Фахівець вирішує, що означає збіг, зберігає докази й спілкується з вашою командою безпеки. GoChannel Desk лише виконує пошуки й складає чернетки нотаток, які потім перевіряє людина. Він не виявляє загроз у реальному часі й не є стрічкою даних про загрози.

Є три варіанти: хмарний AI-провайдер через стандартну кінцеву точку API, модель на вашому ПК або вбудована модель. Логи містять персональні дані, як-от IP-адреси й імена користувачів, тож локальна модель залишає їх на машині, а хмарна отримує те, що надсилає агент.

Так, якщо ви обираєте хмарну модель: рядки логів, які агент поміщає в запит, надсилаються на цю кінцеву точку. З локальною моделлю з машини нічого не виходить. Чати, робочі теки й API-ключі лишаються на ПК, а секрети у виводі інструментів приховуються до того, як потрапляють до моделі. Телеметрії немає.

Два кроки. Завантажте інсталятор, близько 34 МБ, потім виконайте для нього certutil -hashfile і порівняйте значення SHA-256 з опублікованим маніфестом. Існує також портативний окремий .exe близько 25 МБ. Windows SmartScreen може попередити, бо інсталятор ще не має цифрового підпису, тож продовжуйте лише після збігу значень.