Читає ваші файли
read_file, grep і glob відкривають та переглядають копії логів і iocs.txt у робочій теці чату.
Продукт
Indicators of compromise examples, які шукає агент
01
Indicators of compromise examples легко уявити: хеш файлу зі звіту, IP-адреса в логу фаєрвола, домен у DNS-логу або заплановане завдання, якого ви не створювали. Кожен із них — слід, який ви шукаєте у своїх логах. GoChannel Desk шукає їх у копіях ваших власних файлів і показує кожен результат карткою.
Запускає ваші команди
Shell виконує команди на кшталт certutil і findstr та повідомляє справжній код завершення; небезпечні команди блокуються.
Питає перед змінами
Ask first зупиняється перед будь-якою дією, що щось змінює, а Plan only виводить кроки й нічого не змінює.
Що агент робить для роботи з IOC
- Файлиread_file читає логи, write_file створює iocs.txt, edit_file змінює його з diff, а grep і glob шукають збіги в робочій теці.
- Shellвиконує ваші власні команди, наприклад certutil -hashfile для хешу файлу чи findstr для пошуку тексту, і повідомляє справжній код завершення.
- Вебweb_search і http_get читають опубліковані бюлетені та звіти про інциденти, щоб ви могли скопіювати індикатори у власний список.
- Знімки екрана й зображенняocr читає текст зі знімка, наприклад таблицю індикаторів, опубліковану лише як картинка.
- Оркестраціяtask запускає паралельних субагентів на окремих теках із логами, skill зберігає багаторазовий сценарій, а run_on_model віддає складний крок більшій моделі.
- Режими підтвердженняAuto-run діє одразу, Ask first зупиняється перед кожною зміною, а Plan only виводить пошуки, нічого не запускаючи.
- Cronзапускає запит за розкладом, наприклад щотижневий пошук у свіжому експорті логів, який ви скопіювали в теку.
- Моделіпідключіть хмарного AI-провайдера, модель на власному ПК або вбудовану модель і натисніть Test, щоб перевірити кінцеву точку.
Простий текст — хороший початок для списку
Ваш indicators of compromise list може бути звичайним текстовим файлом на кожен інцидент, що лежить у теці. Простого тексту досить. Агент редагує його з diff, а запити йдуть лише на ту кінцеву точку моделі, яку ви обрали.
Прочитай incident-note.txt і таблицю зі знімка table-screenshot.png, запиши адреси, домени та хеші в iocs.txt, впорядкуй файл і перевір кожне значення за нотаткою.
- read_file
incident-note.txtнотатку прочитано - ocr
table-screenshot.pngтекст прочитано - write_file
iocs.txtзбережено - edit_file
iocs.txtdiff показано - grep
192.0.2.44 in incident-note.txt1 збіг
Чекаємо вашого OK перед наступним крокомВідхилитиПрийняти
Два робочі приклади
Від безладних нотаток до чистого списку
Після інциденту нотатки зазвичай довільні, тож агент може виконувати роль грубого IOC-парсера: read_file відкриває нотатку, grep знаходить усе, що схоже на адресу, хеш чи домен, а write_file зберігає перший iocs.txt. Це чернетка. Якщо пристрій поводиться незвично, індикатори, зібрані з його логів, можна додати до того самого списку. Значення на кшталт назви завдання з події Security 4698 або імені файлу в тимчасовій теці потребують людського ока, тож попросіть агента додати рядок-коментар про те, звідки взято кожне значення. Працюйте в режимі Ask first, читайте diff рядок за рядком і видаляйте все, що у вашому середовищі є лише звичайною назвою.
Перевірте список, а потім поділіться ним
Запустіть grep по копіях логів для кожного рядка з iocs.txt і нехай write_file збереже поруч нотатку з результатами. Якщо ваша команда обмінюється IOC для збагачення й полювання на загрози, передавайте лише перевірений «знешкоджений» список, ніколи не сирі логи. GoChannel Desk не є системою керування кейсами: він записує нотатку з результатами у вашу теку, а справжній запис про кейс лишається там, де його зберігає ваша команда. Спершу випробуйте процедуру на нешкідливих документаційних значеннях, як-от діапазон 192.0.2.x, і читайте кожну картку, що з'являється, перш ніж довіряти їй справжній інцидент.
Чого GoChannel Desk не робить
GoChannel Desk — це застосунок для Windows, а не хмарний сервіс чи плагін. Використовуйте його лише для власних файлів, свого ПК і серверів, які ви маєте право перевіряти, і ніколи для систем, облікових записів чи даних, що вам не належать. Результати можуть бути хибними. Перегляньте кожен результат, перш ніж на нього покладатися.
