Detecci%C3%B3n_APT

Ilustración 100. Mandiant IOC Finder (Collect)
Mediante este proceso (obsérvese el parámetro collect) IOC Finder recopilará un
conjunto de datos del equipo sospechoso (en este caso de su unidad g:) y los irá
almacenando dentro de determinado directorio en forma de ficheros XML. Estos
ficheros representarán multitud de atributos correspondientes a procesos,
entradas de registros, ficheros, etc. que posteriormente servirán como fuente de
inspección para localizar cualquier indicio de infección, en este caso del APT Red-
October.
Una vez finalizado el proceso de recolección (proceso que puede llevar horas)
bastará con ejecutar IOC Finder mediante el parámetro report. Para ello será
necesario especificar por un lado, la fuente de datos previamente generada y, por
otro, el fichero/ficheros .ioc que define los patrones de infección que queremos
localizar.
185