Indicators of compromise definition và các câu hỏi thường gặp
IOC cơ bản
Indicators of compromise definition nói đơn giản là gì?
IOC là một bằng chứng gợi ý rằng một hệ thống có thể đã bị xâm nhập hoặc nhiễm mã độc: hash tệp, địa chỉ IP, tên miền, URL, tên tệp, khóa registry hoặc tên tác vụ theo lịch. Kết quả khớp nghĩa là cần điều tra. Riêng nó không bao giờ xác nhận một vụ xâm nhập.
Ransomware indicators of compromise là gì?
Đó là những dấu vết ransomware để lại trên hệ thống do bạn sở hữu: các tệp văn bản thông báo đòi tiền chuộc xuất hiện trong nhiều thư mục, nhiều tệp bị đổi tên sang đuôi mới trong thời gian ngắn, và bản sao lưu hoặc shadow copy bị xóa. Hãy coi mỗi dấu hiệu là khẩn cấp và làm theo kế hoạch ứng phó sự cố.
IOC đến từ đâu?
Bốn nguồn phổ biến: bản tin và báo cáo sự cố, các sự cố trước đây của bạn, định dạng chia sẻ mối đe dọa như STIX, và ghi chú dán vào một tệp văn bản. Ngày tháng rất quan trọng. Hãy ưu tiên nguồn IOC đáng tin để săn tìm mối đe dọa và kiểm tra ngày của từng mục, vì địa chỉ và tên miền nhanh lỗi thời.
IOC khác chỉ báo tấn công thế nào?
IOC cho biết một dấu vết đã được thấy, như hash hay tên miền, còn chỉ báo tấn công mô tả hành vi, như một chương trình khởi động vào giờ lạ. Hash đổi mỗi khi tệp được dựng lại. Pyramid of Pain xếp hạng các chỉ báo theo mức độ khó thay đổi đối với kẻ tấn công.
Dùng GoChannel Desk
gocodesy.com có phải là trang web chính thức của GoChannel Desk không?
Có, gocodesy.com là trang web chính thức của GoChannel Desk. Hãy tải bản gốc từ trang này và so sánh checksum SHA-256 của nó với manifest đã công bố trước khi chạy. Bỏ qua bước đó là một sai lầm. Câu hỏi hãy gửi qua nút Send feedback trong ứng dụng.
Kết quả có luôn đúng không?
Không. Việc tìm chỉ cho thấy những gì có trong log và danh sách bạn đưa vào, nên bạn phải đọc từng kết quả khớp trong ngữ cảnh và từng diff trước khi chấp nhận. Kết quả có thể bỏ sót. Tìm không thấy gì không bao giờ chứng minh hệ thống sạch, và GoChannel Desk không hứa hẹn kết quả đầy đủ.
Tôi có thể luyện tập điều tra trên log của mình không?
Có, trên log và tệp do bạn sở hữu hoặc được phép kiểm tra. Chỉ dùng bản sao. Bạn có thể diễn lại một sự cố cũ hoặc log của một máy phòng lab như một nghiên cứu tình huống pháp y số nhỏ có thật, trong khi tác tử tìm kiếm và viết ghi chú còn bạn rút ra kết luận.
Nó có thay thế chuyên gia pháp y máy tính không?
Không. Chuyên gia quyết định kết quả khớp có ý nghĩa gì, bảo quản bằng chứng và trao đổi với đội bảo mật của bạn. GoChannel Desk chỉ chạy các lệnh tìm và soạn ghi chú nháp để một con người kiểm tra sau đó. Nó không phát hiện mối đe dọa theo thời gian thực và không phải nguồn cấp thông tin tình báo mối đe dọa.
Mô hình, quyền riêng tư và bản tải
Tôi nên kết nối mô hình nào?
Có ba lựa chọn: nhà cung cấp AI đám mây qua endpoint API chuẩn, mô hình chạy trên máy của bạn, hoặc mô hình tích hợp. Log chứa dữ liệu cá nhân như địa chỉ IP và tên người dùng, nên mô hình cục bộ giữ chúng trong máy, còn mô hình đám mây nhận những gì tác tử gửi.
GoChannel Desk có gửi log của tôi đi đâu không?
Có, nếu bạn chọn mô hình đám mây: các dòng log mà tác tử đưa vào prompt sẽ được gửi tới endpoint đó. Với mô hình cục bộ, không có gì rời khỏi máy. Cuộc trò chuyện, thư mục làm việc và khóa API ở lại trên máy, còn bí mật trong đầu ra công cụ được che trước khi đến mô hình. Không có telemetry.
Làm sao để tải và xác minh GoChannel Desk?
Hai bước. Tải chương trình cài đặt, khoảng 34 MB, rồi chạy certutil -hashfile trên nó và so sánh giá trị SHA-256 với manifest đã công bố. Cũng có một tệp .exe portable duy nhất khoảng 25 MB. Windows SmartScreen có thể cảnh báo vì bộ cài chưa được ký mã, nên chỉ tiếp tục sau khi các giá trị khớp.
