Відкрийте робочу теку
Покладіть копії логів і порожній iocs.txt у робочу теку чату. Ніколи не спрямовуйте агента на оригінали.
Сценарії
Indicators of compromise tools: покроковий пошук IOC
03
Перевірте свої логи за новим звітом про IOC
Новий звіт перелічує адреси, домени й хеші, і ви хочете знати, чи трапляються вони у ваших логах. Шукаючи IOC, віддавайте перевагу надійним джерелам: опублікованим бюлетеням, звітам про інциденти та власним минулим інцидентам, і дивіться на дату кожного запису, бо старі застарівають. Спершу скопіюйте логи. Потім нехай агент перетворить звіт на список, пошукає в копіях і запише кожну зачіпку для перегляду.
Заповніть iocs.txt
Попросіть агента прочитати звіт і записати індикатори в iocs.txt, повернувши «знешкоджений» текст до звичайного вигляду. Перевірте diff.
Шукайте в копіях логів
Скористайтеся Plan only, щоб вивести пошукові запити без запуску; Ask first зупиняється перед будь-якою дією, що щось змінює.
Перевірте й занотуйте результати
Прочитайте кожен збіг у контексті через read_file, а тоді нехай агент запише нотатку з індикатором, файлом і рядком.
Приклад iocs.txt
Знайди в копіях логів кожен індикатор із iocs.txt і виведи кожен збіг із файлом і рядком.
- read_file
iocs.txtсписок прочитано - glob
logs-copy/*.logлоги знайдено - grep
192.0.2.44 in logs-copy2 збіги - read_file
logs-copy/dns.logконтекст прочитано
Чекаємо вашого OK перед наступним крокомВідхилитиПрийняти
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskПростий текстовий список: рядки-коментарі починаються зі знака решітки, кожен інший рядок — тип і значення. Усі значення — нешкідливі приклади з документації, а адреса hxxps «знешкоджена».
Хешуйте файли та ведіть indicators of compromise database
Хешуйте файл, не відкриваючи його
Два з потрібних вам інструментів уже є у Windows: certutil і findstr. Скопіюйте підозрілий файл у робочу теку й нехай Shell запустить certutil -hashfile для копії. Shell також може запускати знайомі вам консольні криміналістичні утиліти й повідомляє справжній код завершення кожної команди. Потім grep шукає в iocs.txt виведене значення, а findstr може зробити те саме в текстовому експорті. Збіг — зачіпка, а не вирок. Скористайтеся Plan only, щоб прочитати команду до запуску, і ніколи не відкривайте й не запускайте сам файл.
Один файл на інцидент
Невелика база індикаторів може бути одним текстовим чи CSV-файлом на інцидент у теці, спільній для команди. Бюлетені часто додають контекст до IOC: де його бачили і які методи атакувальник із ним застосовував. Попросіть агента зберігати цей контекст рядком-коментарем над значенням. Використайте edit_file, щоб упорядкувати файл, і прочитайте diff. Прості файли легко переглядати. Наступного разу шукайте grep по всій теці й порівнюйте збіги з попередніми нотатками, перш ніж вирішувати, про що повідомляти. Нотатка може перелічувати збіги в хронологічному порядку, а цей порядок ви звіряєте з логом.
