Windows 10/11
Chỉ máy 64-bit (x64)
Trang web chính thức của GoChannel Desk
Indicators of compromise: tìm trong log của chính bạn
GoChannel Desk 2.9.30 là một tác tử Windows: nó viết danh sách IOC từ một báo cáo, tìm danh sách đó trong bản sao log của chính bạn và hiển thị mỗi bước dưới dạng một thẻ để bạn xem lại.
Tìm trong các bản sao log mọi địa chỉ và tên miền trong iocs.txt rồi viết một ghi chú kết quả.
- list_dir
logs-copyđã liệt kê tệp - read_file
iocs.txtđã đọc danh sách - grep
192.0.2.44 in logs-copy3 kết quả khớp - read_file
logs-copy/fw.logđã đọc ngữ cảnh - write_file
findings-note.mdđã lưu
Đang chờ bạn đồng ý trước bước tiếp theoTừ chốiChấp nhận
2.9.30
Phát hành ngày 8 tháng 11 năm 2026
Khoảng 34 MB
Tệp portable khoảng 25 MB
Không cần
Không cần đăng ký để chạy
Ba chế độ
Auto-run, Ask first, Plan only
Không có telemetry
Cuộc trò chuyện và khóa nằm lại trên máy
Indicators of compromise bạn có thể kiểm tra ngay trên máy của mình
Indicators of compromise là những dấu vết mà một vụ xâm nhập để lại: giá trị hash của tệp, địa chỉ IP, tên miền, URL, tên tệp, khóa registry và tên tác vụ theo lịch. Mỗi dấu vết là một manh mối. Khi một báo cáo nêu tên chúng, bạn tìm từng cái trong log và tệp thuộc về mình, chẳng hạn sự kiện Security 4688 ghi lại một tiến trình mới. Một kết quả khớp là manh mối, không phải phán quyết.
Biến báo cáo đã công bố thành iocs.txt
Hãy nhờ GoChannel Desk tìm một báo cáo đã công bố bằng web_search, tải trang bằng http_get và dùng write_file tạo iocs.txt mới với mỗi dòng một chỉ báo. IOC do các nhà nghiên cứu bảo mật công bố thường đã bị vô hiệu hóa: dùng hxxp thay cho http và [.] thay cho dấu chấm, để không ai bấm nhầm. Tác tử khôi phục chúng về dạng thông thường. edit_file hiển thị diff cho mỗi thay đổi, còn ocr đọc văn bản khi bảng chỉ là ảnh chụp màn hình. Hãy chạy ở chế độ Ask first và đọc từng dòng md5, địa chỉ, tên miền trước khi chấp nhận.
Nhật ký công cụ
web_search published advisory → results found
http_get advisory page → page read
write_file iocs.txt → saved
edit_file iocs.txt → diff shownTìm từng chỉ báo trong bản sao log
Trước tiên hãy sao chép log tường lửa và DNS đã xuất vào thư mục làm việc, để bản gốc không bị đụng tới. list_dir và glob tìm các tệp log, sau đó grep tìm trong đó từng địa chỉ và tên miền trong iocs.txt. Mỗi lần khớp là một manh mối. read_file mở log quanh chỗ khớp, nên bạn thấy các dòng trước và sau đó cùng dấu thời gian, rồi đánh giá xem kết nối có đến từ một máy bạn biết hay không. Chọn Plan only để đọc các lệnh tìm trước, rồi kiểm tra tay 3 kết quả khớp đầu tiên trước khi ghi lại bất cứ điều gì.
Nhật ký công cụ
list_dir logs-copy → files listed
glob *.log → logs found
grep 192.0.2.44 → 3 matches
read_file logs-copy/fw.log → context readHash tệp thay vì mở nó
Đừng mở nó. Hãy nhận diện tệp đáng ngờ bằng hash: Shell chạy certutil -hashfile trên bản sao của tệp, dùng cùng loại hash như trong danh sách của bạn và báo mã thoát thực, còn grep tìm giá trị md5 đã in ra trong iocs.txt. Hash khớp là một manh mối, còn hash khác nhau chứng minh được rất ít vì bất kỳ lần dựng lại tệp nào cũng làm nó đổi. findstr có thể tìm cùng giá trị đó trong bản xuất văn bản. Hãy dùng Plan only để đọc lệnh trước khi chạy, và nhớ rằng Ask first chỉ dừng trước những hành động làm thay đổi điều gì đó.
Ghi lại những gì bạn tìm thấy
AI có thể hỗ trợ công việc pháp y số, nhưng vẫn cần một con người đọc bằng chứng và quyết định kết quả khớp có ý nghĩa gì. task có thể chạy song song các tác tử con trên những thư mục log riêng, còn write_file lưu ghi chú kết quả gồm từng chỉ báo, tệp, dòng và thời gian, kể cả các dòng sự kiện Security 4625 đã khớp. Khi chia sẻ, hãy sao chép mỗi chỉ báo dưới dạng IOC đã vô hiệu hóa: hxxp trong URL và [.] trong địa chỉ và tên miền. Nếu một kết quả khớp trông có vẻ thật, hãy làm theo kế hoạch ứng phó sự cố: cô lập máy, giữ lại bằng chứng và báo cho đội bảo mật. Công cụ không gỡ bỏ mã độc.
Khác gì so với trợ lý trò chuyện
Trợ lý trò chuyện thường chỉ mô tả các bước. GoChannel Desk 2.9.30 tự chạy các lệnh tìm và hiển thị từng lệnh dưới dạng thẻ kèm kết quả thật, nên bạn xem lại đầu ra thực tế chứ không phải lời mô tả.
| Trợ lý trò chuyện thông thường | GoChannel Desk | |
|---|---|---|
| Tìm trong log | Gợi ý một lệnh rồi để bạn tự chạy | Chạy grep trên các bản sao log và hiển thị kết quả khớp |
| Kiểm tra hash | Mô tả cách hash một tệp | Chạy certutil trên tệp và báo mã thoát thực |
| Danh sách IOC | In danh sách ra cửa sổ trò chuyện | Ghi iocs.txt và hiển thị diff cho mọi chỉnh sửa |
| Kiểm soát | Bạn tự chạy từng bước | Ask first dừng trước khi thay đổi; Plan only không thay đổi gì |
Cách hoạt động
- Cài GoChannel Desk trên Windows 10 hoặc 11 và so sánh checksum SHA-256 của bộ cài với manifest đã công bố.
- Kết nối một mô hình: nhà cung cấp đám mây, mô hình trên máy của bạn hoặc mô hình tích hợp, rồi bấm Test.
- Chọn một thư mục làm việc chứa các bản sao log và danh sách iocs.txt của bạn.
- Mô tả việc cần tìm, chọn Ask first hoặc Plan only, và xem lại từng thẻ cùng diff trước khi chấp nhận.
Ai dùng và dùng khi nào
Nhóm đầu tiên là sinh viên và người tự học phòng thủ, luyện tập trên máy phòng lab của chính họ. Một tệp văn bản là đủ. Bất kỳ ai đang đọc bản tin về indicators of compromise in cyber security đều có thể dán danh sách vào iocs.txt và tìm trong bản sao log của mình, kể cả sự kiện 4625 về đăng nhập thất bại, mà không cần viết script trước.
Nhóm thứ hai là quản trị viên của các nhóm nhỏ, những người bất ngờ phải gánh việc bảo mật. Báo cáo đến mà không báo trước. Một quản trị viên đi tìm dấu hiệu bị xâm nhập thường cần một danh sách đơn giản để đối chiếu với một máy chủ văn phòng hoặc vài máy trạm, cùng một ghi chú kết quả để giao cho người xử lý.
Chuyên viên phân tích trong đội bảo mật có thể dùng nó như giấy nháp cho những lần tìm đầu tiên trước khi chuyển sang bộ công cụ đầy đủ. Giao diện hỗ trợ 13 ngôn ngữ. Nó không phát hiện mối đe dọa theo thời gian thực và không phải nguồn cấp thông tin tình báo mối đe dọa, nên nó đứng cạnh hệ thống giám sát của bạn chứ không thay thế.
Câu hỏi thường gặp về IOC
Indicators of compromise là gì?
Đó là những bằng chứng cho thấy một hệ thống có thể đã bị xâm nhập hoặc nhiễm mã độc, như hash tệp, địa chỉ IP, tên miền, URL, tên tệp, khóa registry hoặc người gửi email. IOC là cách viết tắt. Người phòng thủ tìm chúng sau khi một mối đe dọa được báo cáo, và kết quả khớp nghĩa là cần điều tra, không phải đã xác nhận bị xâm nhập.
gocodesy.com có phải là trang web chính thức của GoChannel Desk không?
Có, gocodesy.com là trang web chính thức của GoChannel Desk. Hãy tải bản gốc từ trang này và so sánh checksum SHA-256 của nó với manifest đã công bố trước khi chạy. Đừng bao giờ bỏ qua checksum. Câu hỏi hãy gửi qua nút Send feedback trong ứng dụng.
IOC trong an ninh mạng có giống chỉ báo tấn công không?
Không. IOC ghi lại một dấu vết đã được thấy, như hash hay tên miền, còn chỉ báo tấn công mô tả hành vi, như một chương trình khởi động vào giờ lạ. Cả hai đều là manh mối để điều tra, và không cái nào tự nó chứng minh một vụ xâm nhập.
Tìm không thấy gì có nghĩa là hệ thống của tôi sạch không?
Không. Việc tìm chỉ cho thấy những gì có trong log bạn cung cấp và các chỉ báo bạn liệt kê, nên không có kết quả khớp nào không bao giờ chứng minh hệ thống sạch. Kẻ tấn công thường xuyên đổi địa chỉ và tên miền, và một tệp được dựng lại sẽ có hash khác.
GoChannel Desk có phát hiện mối đe dọa theo thời gian thực không?
Không. GoChannel Desk không phải công cụ giám sát và cũng không phải nguồn cấp thông tin tình báo mối đe dọa. Nó làm việc trên log đã xuất và tệp do bạn sở hữu khi bạn yêu cầu, không bao giờ quét các mạng khác, và không tự gỡ bỏ mã độc.
Nó tìm được những log nào?
Những log bạn xuất ra và sao chép vào thư mục làm việc: log tường lửa, DNS, proxy, máy chủ web và ứng dụng, cùng Windows Event Log được xuất ra văn bản hoặc CSV. Các sự kiện hữu ích gồm 4624 và 4625 cho đăng nhập, 4688 cho tiến trình mới, 4698 cho tác vụ theo lịch và 7045 cho dịch vụ được cài đặt. Hãy làm việc trên bản sao.
GoChannel Desk có gửi log của tôi đi đâu không?
Có, nếu bạn chọn mô hình đám mây: các dòng log mà tác tử đưa vào prompt sẽ được gửi tới endpoint đó. Với mô hình cục bộ, không có gì rời khỏi máy. Cuộc trò chuyện, thư mục làm việc và khóa API ở lại trên máy, còn bí mật trong đầu ra công cụ được che trước khi đến mô hình. Không có telemetry.
Thử trên bản sao log của bạn
Tải phiên bản 2.9.30 cho Windows 10 hoặc 11 và thử trên bản sao log của chính bạn, bắt đầu ở chế độ Plan only để đọc từng lệnh tìm trước khi chạy. Bộ cài khoảng 34 MB.
Tải GoChannel Desk cho Windows ↗Những trang đáng mở tiếp theo
Mọi trang đều có sẵn bằng 20 ngôn ngữ.
GoChannel Desk làm được gì với tệp của bạn ↗ Kết nối mô hình đám mây, cục bộ hoặc tích hợp ↗ Hướng dẫn tìm IOC từng bước ↗ Tải và xác minh bộ cài ↗ Câu hỏi về IOC và ứng dụng ↗ Những gì ở lại trên máy của bạn ↗
