Dobici:
- Razumijevanje da umjetna inteligencija ubrzava reakciju na incident sa sumiranjem dokaza, utvrđivanjem vremenskog okvira, sortiranjem temeljnih uzroka i izradom priručnika, ali odluka o izolaciji/zaključavanju/zatvaranju/obavijestiti pripada ovlaštenom timu.
- Sposobnost procijeniti opcije zadržavanja u smislu poslovnog utjecaja i reverzibilnosti i ne izolirati kritičnu infrastrukturu bez mjerenja njenog uticaja
- Sposobnost razumijevanja da brzina oporavka ne može nadmašiti očuvanje dokaza (forenzička slika, lanac dokaza) i da se forenzički koraci ne mogu prenijeti na umjetnu inteligenciju
Kada dođe do bezbednosnog incidenta, vreme je neprijatelj. Kako se ransomware počinje širiti, to znači da se više mašina šifrira svake minute; Jednom kada je račun kompromitovan, napadač kopa sve dublje svake minute. Odgovor na incident (skraćeno IR) je proces otkrivanja sigurnosnog incidenta, njegovog ograničavanja, čišćenja i vraćanja u normalu. IR zahtijeva donošenje odluka pod pritiskom, sa nepotpunim informacijama i sa otkucavanjem sata; Upravo zbog toga mora biti i brzo i disciplinovano.
AI donosi neprocjenjivu brzinu IR-u: brzo sažima raštrkane dokaze (logove, upozorenja, EDR podatke), uspostavlja vremensku liniju događaja, nabraja mogući osnovni uzrok, proizvodi nacrt priručnika (unaprijed definirani vodič za intervenciju korak po korak) i daje skicu izvještaja nakon intervencije. Ali najkritičnije odluke u IR – izolacija sistema od mreže, zaključavanje naloga, gašenje servera, brisanje ili očuvanje dokaza – su odluke koje mogu biti reverzibilne, uzrokovati prekid poslovanja i uticati na sudske procese. Oni se ne mogu delegirati na AI. AI je mehanizam za analizu i izradu nacrta u IR; Odluka o izolaciji, zaključavanju, zatvaranju i obavještavanju pripada nadležnom timu za reagovanje.
Faze reagovanja na incident
Uobičajeni okvir u industriji (zasnovan na NIST-u) je šest faza. U svakoj fazi, pomoć i granica AI su različiti:
- Priprema: Priručnici, uloge, komunikacioni plan su unapred spremni. AI pomaže u izradi knjiga i scenarija - prije događaja, a ne u ovom trenutku.
- Detekcija i analiza: Događaj je verifikovan i određen je njegov obim. AI sažima dokaze, uspostavlja vremenski okvir i navodi hipoteze o osnovnom uzroku. Odluka je na analitičaru.
- Zadržavanje: Širenje je zaustavljeno (izolacija, zaključavanje računa). Ova kritična odluka pripada ljudima; AI samo navodi opcije i njihove efekte.
- Iskorjenjivanje: Zlonamjerni, backdoor, kompromitovani nalozi se brišu. AI proizvodi kontrolnu listu; implementacija i verifikacija su ljudski.
- Oporavak: Sistemi se obnavljaju i nadziru na kontrolisan način. AI preporučuje plan praćenja.
- Naučene lekcije: Osnovni uzrok, vremenski okvir, poboljšanje. AI proizvodi nacrte izvještaja i prijedloge za poboljšanje; On je u timu za odobravanje.
Uslovi: EDR (Detekcija i odgovor krajnje tačke — softver koji radi na krajnjim tačkama, tj. računarima, i može otkriti i odgovoriti na sumnjivo ponašanje). Osnovni uzrok je stvarna početna tačka događaja ("Kako su uopće ušli?"). Lanac pritvora je neprekidna evidencija o tome ko, kako i kada je prikupljen forenzički dokaz; To je kritično u pravnom procesu. MTTR (srednje vrijeme za odgovor) je mjera učinka IR tima.
Tabela ovlaštenja za odlučivanje
IR akcija
Uloga AI
Ko odlučuje
Zašto
Sažetak dokaza, vremenski okvir
producent, akcelerator
Analitičar potvrđuje
Rizik od halucinacija
Hipoteza o korijenskom uzroku
Sorter, prijedlog
analitičar
Potreban kontekst i dokazi
Nacrt Playbook (prethodno)
generator skica
Lider IR potvrđuje
Primjenjivost
Izolirajte sistem
Navodi samo opcije
ovlašćeni analitičar
Prekid poslovanja, povratak
Zaključavanje računa
Daje analizu uticaja
ovlašćeni analitičar
Pogrešna brava zaustavlja rad
Brisanje/očuvanje dokaza
Upozorenja, prijedlozi
IR lider + zakon
Sudski proces je pogođen
Pravna/regulatorna obavijest
pisac nacrta
Zakon + menadžment
Pravna odgovornost
tri mini kofera
Slučaj 1 — Kratki sažetak pod pritiskom. Upozorenje o ransomware-u stiže u 2:40 ujutro. Analitičar daje EDR i evidencije zaštitnog zida (anonimiziranjem) AI. AI gradi vremensku liniju svakih 90 sekundi: "01:55 phishing prilog je otvoren, 02:10 PowerShell preuzet, 02:30 započelo bočno kretanje, 3 mašine pogođene." Analitičar potvrđuje ovaj lanac sa neobrađenim EDR zapisom, izoluje 3 pogođene mašine po svom nahođenju i zaustavlja širenje. AI je smanjio 20 minuta čitanja dokaza na 90 sekundi; Analitičar je donio odluku o izolaciji.
Slučaj 2 — Pogrešna preporuka za izolaciju. U jednom slučaju, AI kaže: "Saobraćaj sa IC_HOST_7 je sumnjiv, izolirajte." Analitičar provjerava kontekst: IC_HOST_7 je glavni server za autentifikaciju organizacije; Ako su izolovani, svi zaposleni prestaju da ulaze. Štaviše, razlog saobraćaja je legitimna rezervna kopija. Analitičar ne izoluje, već samo prati sumnjivu vezu. Lekcija: Preporuka AI za izolaciju ne može se implementirati bez poznavanja uticaja na poslovanje; Što se tiče kritične infrastrukture, odluka je pažljivo ljudska.
Slučaj 3 — Slučajno uništavanje dokaza. Tim, u žurbi za čišćenjem, upitao je AI "kako da brzo očistim ovu mašinu?" on pita; AI nudi ponovnu instalaciju sistema. Ali mašina sadrži forenzičke dokaze (skladište memorije, alate napadača) koji još nisu prikupljeni; ponovna instalacija bi uništila lanac dokaza. Viši analitičar prvo osigurava da je slika (forenzička kopija) snimljena, a zatim je čisti. Pouka: brzina oporavka ne može nadmašiti očuvanje dokaza; sudski koraci nisu delegirani AI.
Slaba prompt / Jaka prompt
Slab upit:
Postoji ransomware napad, šta da radim? Koje mašine da isključim?
Ovaj upit od AI-a traži direktnu operativnu odluku (koju mašinu da isključi), ne daje kontekst, nema uticaja na poslovanje i nema dokaza. AI daje opšta ili rizična uputstva; Ako se primjenjuje slijepo, rad će prestati ili će dokazi nestati.
Snažan upit:
Vaša uloga: pomoćnik koji pruža ANALIZU i OPCIJE timu za odgovor na incident. Nemojte donositi odluku; nemojte naređivati "isključite/izolirajte tu mašinu", samo navedite opcije i mogući uticaj svake od njih. Obradite sljedeće anonimne dokaze: [EDR/sažetak dnevnika]. Vaš zadatak: (1) konstruirajte vjerovatnu vremensku liniju događaja, pokažite na kojim dokazima zasnivate svaki korak, označite onaj bez osnova kao "[mora biti provjereno]", (2) navedite 3 hipoteze o osnovnom uzroku, napišite kako testirati svaku, (3) navesti OPCIJE obuzdavanja (izolacija rizika od ponovnog zaključavanja) i zapisati svaki posao, zapisati; ostavite odluku meni,(4) podsjetite me koji koraci su potrebni za očuvanje dokaza PRIJE izolacije.
Snažna potražnja ograničava AI kao dobavljača opcija, vezuje ga za dokaze, naglašava poslovni uticaj i očuvanje dokaza i prepušta odluku ljudima.
Predlošci upita koji se mogu kopirati
PREDLOZAK VREMENSKOG TRAKA DOGAĐAJA Iz ovog anonimnog IR dokaza napravite hronološki vremenski okvir događaja. Svaki red: [vrijeme] [događaj] [izvor dokaza]. Dodavanje koraka bez vremenske oznake ili dokaza; označite prazno kao "[nedostaje - mora se prikupiti]". Odluka/preporuka, rangiranje samo na osnovu dokaza. Dokaz: [zalijepi]
ŠABLONA ZA HIPOTEZE O KORENOM UZROKU Generirajte 3-5 hipoteza najvjerovatnijih uzroka za ovaj događaj. Za svaku hipotezu: (1) dokaz na kojem se zasniva, (2) dodatni dokazi koji treba prikupiti da bi se potvrdila, (3) svi ostali tragovi koji se očekuju ako su istiniti. Ne proglašavajte nijednu od njih sigurnim; Koristite jezik vjerovatnoće. Sažetak događaja: [zalijepi]
PREDLOZAK OPCIJA KONTRAKCIJE Navedite OPCIJE zadržavanja za sljedeću situaciju (izolacija / nadgledanje / zaključavanje / segment). Za SVAKU opciju: poslovni uticaj, teškoća povrata, uticaj na dokaze, forenzički rizik. Nemojte mi naređivati; Ja ću donijeti odluku. Posebno je pogodan ako je uključena kritična infrastruktura (identitet, DNS, backup). Status: [zalijepi]
ŠABLONA ZA NACRT PLAYBOOK-a (priprema prije događaja)Za sljedeći scenarij [npr. radna e-pošta kompromis] napišite korak-po-korak priručnik o intervencijama NACRT: okidač, uloge, zadržavanje, uništenje, oporavak, kontakt, koraci obavještavanja. Stavite kvačicu "[ljudsko odobrenje]" pored svake kritične odluke. Ovaj nacrt ne stupa na snagu bez odobrenja lidera IR.
Uobičajene greške
- Neka AI donosi operativne odluke. Pitanje “Koju mašinu da isključim” pripada timu koji poznaje poslovni uticaj, a ne AI; AI nudi samo izbor i uticaj.
- Čišćenje dokaza bez prikupljanja. Uništavanje forenzičkih dokaza radi brzine je nepovratno; Dump sliku i memoriju prije izolacije/čišćenja.
- Uvoz vremenske linije u izvještaj bez provjere valjanosti. AI može sastaviti lanac događaja; Svaki korak potvrdite sirovim dokazima.
- Izolacija kritične infrastrukture bez razmišljanja. Izolacija identiteta, DNS-a, backup servera može dovesti do zastoja cijele organizacije; prvo izmerite efekat.
- Pisanje Priručnika po prvi put u vrijeme incidenta. Priručnik se izrađuje tokom pripremne faze; Pokušaj pisanja od nule u trenutku incidenta proizvodi paniku i greške.
Savjet: U IR-u, uvijek recite AI-u "navedite opcije i njihove efekte, neka ja odlučim." Ova jedina rečenica pretvara AI iz opasnog "autopilota" u sigurnog "savjetnika".
Oprez: Izolovanje sistema, zaključavanje naloga ili brisanje dokaza mogu imati nepovratne posledice i uticati na sudske/pravne procese. Ove odluke se donose uz odobrenje ovlašćenog tima za reagovanje i, kada je potrebno, pravnog i rukovodstva; AI izlaz je prijedlog, a ne naredba.
Ukratko
Reakcija na incident zahtijeva brzo i disciplinovano donošenje odluka pod pritiskom i sa otkucavanjem sata. AI uvelike povećava ovu brzinu sa sumiranjem dokaza, građenjem vremenske linije, sortiranjem osnovnih uzroka i izradom priručnika. Ali najkritičnije akcije IR-a – izolacija, zaključavanje naloga, gašenje sistema, brisanje/očuvanje dokaza, pravno obaveštenje – su nepovratne odluke koje dovode do prekida poslovanja i pravnih posledica i ne mogu se preneti na AI. U svakoj od šest faza (priprema, otkrivanje, zadržavanje, uništavanje, spašavanje, lekcija), AI proizvodi analizu i plan; Odluka pripada ovlaštenom timu. Dva zlatna pravila: očistite dokaze bez očuvanja, izolujte kritičnu infrastrukturu bez mjerenja njenog uticaja.
Zadatak aplikacije
Odaberite scenarij slučaja (npr. preuzimanje računa nakon krađe identiteta). Navedite analizu iz AI sa predlošcima „Vremenska linija događaja“ i „Hipoteza o korijenskom uzroku“; Zapišite dokaze koje ćete koristiti za provjeru svakog koraka vremenske linije. Zatim, uz predložak „Opcija ograničenja“, kada imate tri ograničavajuće opcije, sami procijenite poslovni uticaj svake od njih i zabilježite koju biste odabrali i zašto (i šta biste prvo učinili da sačuvate dokaze).
kontrolna lista
- [ ] Ograničio sam AI kao opciju/server za analizu; Ja sam donio operativnu odluku.
- [ ] Provjerio sam svaki korak na vremenskoj liniji sirovim dokazima, uklanjajući izmišljotine.
- [ ] Planirao sam korak prikupljanja dokaza (slika, memorija) prije izolacije/čišćenja.
- [ ] Prvo sam izmjerio poslovni uticaj izolacije za kritičnu infrastrukturu.
- [ ] Hipoteze o osnovnom uzroku tretirao sam kao mogućnosti koje treba testirati, a ne kao definitivne.
- [ ] Pripremio sam Playbook prije događaja i predao ga voditelju IR-a na odobrenje.
- [ ] Uključio sam pravno/administrativno odobrenje u slučajevima kada je potrebno pravno obavještenje.