Daromadlar:
- Sun'iy intellekt yordamida bir nechta vaqt tamg'asi manbalarini bitta ma'lumotnomaga (UTC) normallashtirish va super vaqt jadvalidagi anomaliyalar va bo'shliqlarni belgilash qobiliyati
- Korrelyatsiya va nedensellik o'rtasidagi farqni aniqlash va har bir voqeani manbasiga bog'lash orqali sun'iy intellekt tomonidan o'rnatilgan rivoyatni tekshirish qobiliyati
- Vaqtni belgilash, soat o'zgarishi va log bo'shliqlari kabi xavflarni aniqlash va ularni bir nechta manbalar bilan tasdiqlash qobiliyati
Kiber hodisaning qachon, qanday va qanday tartibda sodir bo'lishini sizga aytadigan yagona narsa bor: vaqt. Buzg'unchi tizimga kirganida, u qaysi faylga tegdi va qachon, qachon ma'lumotlarni o'tkazdi - bularning barchasi turli jurnallarda (tizim voqealarni qayd etadigan fayllarni yozib olish) va turli vaqt belgilarida (vaqt tamg'asi - voqea sodir bo'lgan sana va vaqt yozuvi) saqlanadi. Vaqt jadvalini tahlil qilish bu tarqoq vaqt belgilarini bitta xronologik hikoyaga aylantiradi va "nima bo'ldi?" Deb so'raydi. Bu savolga javob berish san'ati. Ushbu bo'limda biz sun'iy intellekt ushbu tartibsiz ma'lumotlarni tartibga solishda qanday katta tezlikni ta'minlaydi va u sizni qayerda chalg'itishi mumkinligini ko'rib chiqamiz.
Vaqt belgilarining ko'pligi va tuzoqlari
Hatto bitta faylda ham bir nechta vaqt belgilari mavjud. Masalan, fayl tizimi MACB shtamplariga ega: Modified, Accessed, Changed, Born. Bundan tashqari, operatsion tizim hodisalari jurnallari (Windows Voqealar jurnali), veb-server jurnallari, xavfsizlik devori jurnallari, ilovalar jurnallari va registrlar (Windows registrlari - tizim va ilovalar sozlamalari saqlanadigan ierarxik ma'lumotlar bazasi) yozuvlari mavjud.
Eng katta xato - bu vaqt mintaqasi va vaqt o'zgarishi. Bir jurnalda UTC (muvofiqlashtirilgan universal vaqt), ikkinchisida mahalliy vaqt; tizimning soati noto'g'ri o'rnatilgan bo'lishi mumkin; Tajovuzkor vaqt belgilarini ataylab o'zgartirgan bo'lishi mumkin (vaqt belgilarini buzish - fayl vaqt belgilarini aldash). Shunday qilib, vaqt jadvalini o'rnatishdan oldin, har bir manbaning vaqt zonasi va soat aniqligini aniqlash kerak, barchasi umumiy ma'lumotnomaga (odatda UTC) normallashtiriladi.
Diqqat: Ikkita jurnalni turli vaqt oralig'ida yonma-yon qo'yish va "bir vaqtning o'zida sodir bo'ldi" deyish klassik xatodir. Korrelyatsiya qilishdan oldin barcha vaqt belgilarini bitta havolaga aylantiring; Aks holda, AI (va siz) tomonidan o'rnatilgan sabab-ta'sir munosabatlari boshidan chirigan.
Super xronologiya va AI
Kompyuter kriminalistikasida ushbu manbalarning barchasini birlashtirgan tuzilma super timeline deb ataladi; U ko'pincha Plaso/log2timeline kabi vositalar yordamida yaratiladi va o'n minglab yoki hatto millionlab qatorlar bo'lishi mumkin. Bu erda AI keladi: bu ulkan diagrammada mazmunli naqsh va anomaliyalarni belgilash.
AIning xavfsiz hissalari:
- Anomaliya belgisi: ish soatlaridan tashqari kirish, to'satdan imtiyozlarning kuchayishi, noodatiy jarayonlar zanjiri, qisqa vaqt ichida bir nechta muvaffaqiyatsiz loginlar.
- Voqealar klasteri: Bir vaqtning o'zida jamlangan voqealarni guruhlash va ularni "bu erda nimadir sodir bo'ldi" deb belgilash.
- Hikoya rejasi: Tasdiqlangan voqealarni oddiy tildagi xronologik hikoyaga tarjima qilish (hisobot uchun birinchi qoralama).
- Bo'shliqni aniqlash: "Ushbu 40 daqiqalik intervalda jurnallar yo'q - ular o'chirilgan bo'lishi mumkinmi?" kabi kamchiliklar haqida so'rash.
Har birida AI farazlarni yaratadi; Siz sabab va dalil qiymatini isbotlaysiz.
Maslahat: AIga vaqt jadvalini berishda avval unga vaqt mintaqasi va formatini aniq ayting: "Barcha vaqt belgilari UTC, ISO 8601 formatida." Avval aralash formatlarni normallashtirish; AI formatini taxmin qilishiga ruxsat berish xatolikka da'vatdir.
Korrelyatsiya sabab-oqibat emas
Vaqtni tahlil qilishda eng xavfli mantiqiy xato bu vorislikni sabab va oqibat deb o'ylashdir. "USB 22:10da kiritildi, fayl 22:12 da ko'chirildi" ikkita hodisa ketma-ket sodir bo'lishi mumkin, ammo ular xuddi shu maqsadda bir odam buni qilganligini isbotlamaydi; Boshqa tushuntirish bo'lishi mumkin. AI ravon hikoyani yaratsa-da, u bu bo'shliqni ko'rmaydi va "Ma'lumotlar USB orqali o'g'irlangan" kabi aniq jumlani ishlab chiqishi mumkin. Ekspertning vazifasi muqobil tushuntirishlarni yo'q qilish va har bir qadamni mustaqil dalillar bilan qo'llab-quvvatlashdir.
uchta mini holat
1-holat - Soat siljishi ushlandi. Bir holatda, veb-server jurnali va xavfsizlik devori jurnali 3 soat davomida boshqacha ko'rindi. Birinchi loyihada AI ushbu "ikkita alohida hujum" ni ko'rib chiqdi. Ekspert serverning vaqt zonasi noto'g'ri o'rnatilganligini aniqladi; Normallashtirilganda, ikkita jurnal bitta hodisaga mos keladi. 3 soatlik "fantom farqi" yo'qoldi.
2-holat - bo'shliq o'chirishni aniqladi. 1,1 million chiziqli super xronologiyada AI 02:30 dan 03:10 gacha hech qanday yozuv yo'qligini belgiladi. Ekspert tekshirdi: Ushbu oynada xavfsizlik jurnallari ataylab tozalandi (jurnalni o'chirish). Bo'shliqning o'zi hujumning eng kuchli dalillaridan biriga aylandi.
3-holat - Gallyutsinatsiya voqeani uydirdi. Xulosa qilish paytida YZ: "Administrator hisobi 03:45 da yaratilgan" dedi. Mutaxassis manbaga qaradi: bunday hodisa identifikatori yo'q edi - voqea turini ko'rsatadigan Windows jurnallaridagi raqam; AI ikki xil chiziqni birlashtirdi va mavjud bo'lmagan hodisani yaratdi. Manbaga bog'lash qadami yolg'on hikoyaning oldini oldi.
To'rt nusxa ko'chirish shablonlari
1) Vaqtni normallashtirish rejasi:
Sizning rolingiz: sud-tibbiy xronologiya tahlilchisi. Men sizga turli manbalardan vaqt belgilarini beraman (formatlar va vaqt davrlari farq qilishi mumkin). Avval har bir manbaning formati va vaqt mintaqasini aniqlang, so‘ngra ularning barchasini UTC/ISO 8601 ga aylantirish rejasini tuzing. Siz ishonchingiz komil bo‘lmagan vaqt mintaqasini “tasdiqlash kerak” deb belgilang.
2) Anomaliya belgilari:
Kontekst: korporativ server, oddiy ish vaqti 08:00-18:00 (UTC+3). Men sizga normallashtirilgan hodisalar ro'yxatini beraman. Faqat ro'yxatda ASLA ko'rinadigan yozuvlarga asoslanib, quyidagilarni belgilang: ish soatlaridan tashqari kirish, imtiyozlarni oshirish, qayta-qayta muvaffaqiyatsiz kirish, noodatiy jarayonlar zanjiri. Har bir belgi uchun tegishli qatorni keltiring. Talqin/sababni qo'shish; Men baho beraman.
3) Hikoya rejasi (ma'ruza uchun):
Quyida men TEKSHIRGAN voqealar (har biri o'z manbasi bilan). Ularni oddiy, xronologik hikoyaga aylantiring. Faqat men bergan voqealardan foydalaning; yangi voqea, bashorat yoki sabab-oqibat qo'shish. Ularni "mumkin" deb tavsiflovchi tilda noaniq bog'lanishlarni yozing.
4) Bo'shliq va nomuvofiqlikni skanerlash:
Ushbu me'yorlashtirilgan vaqt jadvalida: (1) kutilayotgan, lekin etishmayotgan bo'lib ko'ringan jurnal davrlarini belgilang, (2) tartibsiz (kelajakdan o'tmishga), (3) to'plam/avtomatik ravishda paydo bo'ladigan tirqishlar. Har birini tegishli qator oralig'i bilan ko'rsating. E'tibor bering, bular o'chirish/manipulyatsiya BELGILARI bo'lishi mumkin, ammo dalil emas.
Zaif taklif / Kuchli taklif
Zaif taklif:
Ushbu jurnallarni umumlashtiring va nima bo'lganini tushuntiring.
Vaqt oralig'i, manba yoki "faqat haqiqiy ro'yxatga olish" cheklovlari yo'q; AI ravon, ammo uydirma hikoyani qurishi mumkin.
Kuchli so'rov:
Sizning rolingiz: sud-tibbiy jurnali tahlilchisi. Manba: 3 ta jurnal (Windows Xavfsizlik, Apachega kirish, xavfsizlik devori), barchasi UTC, ISO 8601 standartiga moslashtirilgan. Vazifa: 14-mart 21:00 dan 23:00 gacha voqealarni faqat berilgan satrlar asosida xronologik ro'yxatlash; har bir satrni manba va voqea identifikatori/kodi bilan keltiring. Korrelyatsiyani o'rnatish, sababiy bog'liqlikni da'vo qilish; Men izoh beraman. Siz ko'rgan intervallarni alohida yoki noodatiy deb belgilang.
Manba, me'yorlashtirilgan ma'lumotnoma, "faqat berilgan qator" va "kauzallikni o'rnatish" cheklovlari chiqishni himoyalangan qiladi.
Vaqt tamg'asi manbalari jadvali
Manba
Vaqt tamg'asi misoli
Diqqat
Fayl tizimi (MACB)
O'zgartirish/kirish/yaratish
Vaqtni belgilash uchun ochiq
Windows voqealar jurnali
Kirish, jarayon, xizmat voqealari
Voqealar identifikatorini tasdiqlang
veb-server jurnali
so'rov vaqti
vaqt mintaqasini tekshirish
xavfsizlik devori/tarmoq
ulanish, rad etish
Soatni sinxronlashtirish (NTP)
Registr
Oxirgi yozish vaqti
Izoh tajribani talab qiladi
Ilova/brauzer
tarix, kesh
mahalliy vaqt bo'lishi mumkin
Umumiy xatolar
- Vaqt davrini normallashtirmasdan korrelyatsiyani o'rnatish. Turli xil bo'laklar noto'g'ri "moslashuv" ni yaratadi.
- Korrelyatsiyani sababiy bog'lanish deb xato qilish. Ketma-ket sodir bo'lgan voqealar bir xil jinoyatchi/maqsadni anglatmaydi.
- Vaqt tamg'asiga mutlaq ishonch. Vaqtni to'xtatish va noto'g'ri vaqt bo'lishi mumkin; Bir nechta manbalar bilan tasdiqlang.
- AI yig'ilgan voqeani tasdiqlamaydi. Ikki qatorning birlashishi mavjud bo'lmagan hodisani keltirib chiqarishi mumkin.
- Bo'shliqlarga e'tibor bermaslik. Yo'qolgan jurnal ko'pincha eng muhim dalildir.
Xulosa
Vaqt jadvalini tahlil qilish - bu tarqoq vaqt belgilarini bitta tekshiriladigan xronologiyaga birlashtirish harakati. AI anomaliyalarni belgilash, klasterlash, bo'shliqlarni aniqlash va million qatorli super xronologiya bo'ylab rivoyatni yaratishda katta tezlikni ta'minlaydi. Ammo vaqt davrining normallashuvi, korrelyatsiya-sababli farqlash va har bir hodisani manbaga bog'lash odamlarga tegishli. AI farazlarni yaratadi; Siz sudda xronologiyani himoya qilyapsiz.
Ilova vazifasi
Turli formatda va vaqt zonasida 15-20 qatordan iborat namunaviy voqealar ro'yxatini tayyorlang (qasddan vaqt o'zgarishi va bo'sh joyni qo'shing). Avval ularning barchasini "Vaqtni normallashtirish rejasi" shabloni bilan UTC ga aylantiring. Keyin "Anomaliya belgisi" va "Bo'shliqni skanerlash" shablonlarini qo'llang va manbada AI tomonidan qayd etilgan soat siljishi va bo'shliqni tekshiring.
nazorat ro'yxati
- [ ] Men barcha vaqt belgilarini bitta havolaga (UTC) normallashtirdim.
- [ ] Men har bir voqeani manbasiga bog'ladim (fayl/Voqealar identifikatori/satr).
- [ ] korrelyatsiya va sababiy bogʻlanishni ajratdim; Men muqobil tushuntirishlarni ko'rib chiqdim.
- [ ] Men log boʻshliqlari va noodatiy yozuvlarni belgiladim.
- [ ] Men asl yozuvda AI jamlagan/jamlagan voqealarni tasdiqladim.