Indicators of compromise examples mà tác tử có thể tìm

Tác tử làm gì cho công việc IOC

• Tệpread_file đọc log, write_file tạo iocs.txt, edit_file sửa nó kèm diff, còn grep và glob tìm kết quả khớp trong thư mục làm việc.
• Shellchạy các lệnh của chính bạn, như certutil -hashfile để hash tệp hoặc findstr để tìm văn bản, và báo mã thoát thực.
• Webweb_search và http_get đọc các bản tin và báo cáo sự cố đã công bố, để bạn sao chép chỉ báo vào danh sách của mình.
• Ảnh chụp màn hình và hình ảnhocr đọc văn bản từ ảnh chụp màn hình, ví dụ một bảng chỉ báo chỉ được công bố dưới dạng hình ảnh.
• Điều phốitask chạy song song các tác tử con trên những thư mục log riêng, skill lưu một playbook dùng lại được, và run_on_model gửi một bước khó sang mô hình lớn hơn.
• Chế độ phê duyệtAuto-run hành động ngay, Ask first dừng trước mỗi thay đổi, còn Plan only liệt kê các lệnh tìm mà không chạy gì.
• Cronchạy một prompt theo lịch, ví dụ tìm kiếm hằng tuần trên bản xuất log mới mà bạn đã sao chép vào thư mục.
• Mô hìnhkết nối nhà cung cấp AI đám mây, mô hình trên máy của bạn hoặc mô hình tích hợp, rồi bấm Test để kiểm tra endpoint.

Hai ví dụ thực hành

Từ ghi chú lộn xộn đến danh sách gọn gàng

Sau sự cố, ghi chú thường viết tự do, nên tác tử có thể đóng vai một bộ phân tích IOC sơ bộ: read_file mở ghi chú, grep tìm mọi thứ trông giống địa chỉ, hash hoặc tên miền, và write_file lưu iocs.txt đầu tiên. Đây mới là bản nháp. Khi một thiết bị có hành vi bất thường, các chỉ báo thu thập từ log của nó có thể được thêm vào cùng danh sách. Những giá trị như tên tác vụ từ sự kiện Security 4698 hoặc tên tệp trong thư mục tạm cần mắt người, nên hãy nhờ tác tử thêm một dòng chú thích nói rõ mỗi giá trị đến từ đâu. Hãy chạy ở Ask first, đọc diff từng dòng và xóa mọi thứ chỉ là tên bình thường trong môi trường của bạn.

Kiểm tra danh sách rồi chia sẻ

Chạy grep trên các bản sao log cho từng dòng trong iocs.txt và để write_file lưu ghi chú kết quả bên cạnh. Nếu nhóm của bạn chia sẻ IOC để làm giàu dữ liệu và săn tìm mối đe dọa, chỉ chuyển danh sách đã được xem xét và vô hiệu hóa, không bao giờ chuyển log thô. GoChannel Desk không phải hệ thống quản lý vụ việc: nó ghi một ghi chú kết quả vào thư mục của bạn, còn hồ sơ vụ việc thật vẫn nằm ở nơi nhóm bạn lưu. Hãy thử quy trình trước trên các giá trị tài liệu vô hại, như dải 192.0.2.x, và đọc từng thẻ khi nó xuất hiện trước khi tin tưởng nó với một sự cố thật.