Mở thư mục làm việc
Đặt các bản sao log và một iocs.txt trống vào thư mục làm việc của cuộc trò chuyện. Đừng bao giờ trỏ tác tử vào bản gốc.
Quy trình
Indicators of compromise tools: tìm IOC từng bước
03
Đối chiếu log của bạn với một báo cáo IOC mới
Một báo cáo mới liệt kê địa chỉ, tên miền và hash, và bạn muốn biết có cái nào xuất hiện trong log của mình không. Khi tìm IOC, hãy ưu tiên nguồn đáng tin như bản tin đã công bố, báo cáo sự cố và các sự cố trước đây của bạn, và kiểm tra ngày của từng mục vì mục cũ nhanh lỗi thời. Hãy sao chép log trước. Sau đó để tác tử biến báo cáo thành danh sách, tìm trong các bản sao và ghi lại mọi manh mối để bạn xem xét.
Điền iocs.txt
Nhờ tác tử đọc báo cáo và ghi các chỉ báo vào iocs.txt, đồng thời khôi phục văn bản đã vô hiệu hóa về dạng thông thường. Kiểm tra diff.
Tìm trong các bản sao log
Dùng Plan only để liệt kê các lệnh tìm mà không chạy; Ask first dừng trước mọi hành động làm thay đổi điều gì đó.
Kiểm tra và ghi lại kết quả
Đọc từng kết quả khớp trong ngữ cảnh bằng read_file, rồi nhờ tác tử viết ghi chú kết quả liệt kê chỉ báo, tệp và dòng.
Một iocs.txt mẫu
Tìm trong các bản sao log mọi chỉ báo trong iocs.txt và liệt kê từng kết quả khớp cùng tệp và dòng của nó.
- read_file
iocs.txtđã đọc danh sách - glob
logs-copy/*.logđã tìm thấy log - grep
192.0.2.44 in logs-copy2 kết quả khớp - read_file
logs-copy/dns.logđã đọc ngữ cảnh
Đang chờ bạn đồng ý trước bước tiếp theoTừ chốiChấp nhận
iocs.txt
# iocs.txt - test indicators for incident 001
# one indicator per line: <type> <value>
ip 192.0.2.44
ip 198.51.100.17
domain update-check.example.test
domain files.example.org
url hxxps://files.example.org/get/invoice
md5 d41d8cd98f00b204e9800998ecf8427e
file C:\Users\Public\Test-invoice.txt
reg HKCU\Software\TestRunKey
task TestSyncTaskMột danh sách văn bản thuần: dòng chú thích bắt đầu bằng dấu thăng, mọi dòng khác gồm một loại và một giá trị. Tất cả giá trị đều là ví dụ tài liệu vô hại, và địa chỉ hxxps đã được vô hiệu hóa.
Hash tệp và giữ một indicators of compromise database
Hash tệp mà không cần mở nó
Hai trong số các công cụ indicators of compromise bạn cần đã là một phần của Windows: certutil và findstr. Hãy sao chép tệp đáng ngờ vào thư mục làm việc và để Shell chạy certutil -hashfile trên bản sao. Shell cũng có thể chạy các công cụ pháp y dòng lệnh bạn vẫn dùng, và báo mã thoát thực của từng lệnh. Sau đó grep tìm giá trị đã in ra trong iocs.txt, và findstr có thể làm điều tương tự trong bản xuất văn bản. Một kết quả khớp là manh mối, không phải phán quyết. Hãy dùng Plan only để đọc lệnh trước khi chạy, và đừng bao giờ mở hay chạy chính tệp đó.
Giữ một tệp cho mỗi sự cố
Một cơ sở dữ liệu chỉ báo nhỏ có thể là một tệp văn bản thuần hoặc CSV cho mỗi sự cố trong thư mục nhóm bạn dùng chung. Các bản tin thường bổ sung ngữ cảnh về một IOC: nó từng xuất hiện ở đâu ngoài thực tế và kẻ tấn công đã dùng phương pháp nào cùng với nó. Hãy nhờ tác tử giữ ngữ cảnh đó thành một dòng chú thích phía trên giá trị. Dùng edit_file để sắp xếp tệp và đọc diff. Tệp thuần dễ xem xét. Lần sau, hãy tìm trong cả thư mục bằng grep và so sánh kết quả với các ghi chú trước đó trước khi quyết định báo cáo gì. Ghi chú kết quả có thể liệt kê các kết quả khớp theo thứ tự thời gian, và bạn kiểm tra thứ tự đó với log.
