የምዝግብ ማስታወሻ እና የጊዜ መስመር ትንተና፡ ክስተቶችን በትክክለኛው ቅደም ተከተል ማስቀመጥ

ትርፍ፡

• ብዙ የጊዜ ማህተም ምንጮችን ወደ አንድ ማጣቀሻ (UTC) መደበኛ የማድረግ ችሎታ እና ያልተለመዱ ነገሮችን እና ክፍተቶችን በሱፐር የጊዜ መስመር ላይ በሰው ሰራሽ የማሰብ ችሎታ የመለየት ችሎታ
• ተያያዥነት እና መንስኤዎችን የመለየት ችሎታ እና እያንዳንዱን ክስተት ከምንጩ ጋር በማገናኘት በአርቴፊሻል ኢንተለጀንስ የተመሰረተውን ትረካ ማረጋገጥ
• እንደ የሰዓት ስታምፒንግ፣ የሰዓት ተንሳፋፊ እና የምዝግብ ማስታወሻ ክፍተቶችን የመለየት ችሎታ እና በብዙ ምንጮች ያረጋግጣቸዋል።

የሳይበር ክስተት መቼ፣ እንዴት እና በምን ቅደም ተከተል እንደተከሰተ የሚነግርህ አንድ ነገር ብቻ አለ፡ ጊዜ። አንድ አጥቂ ወደ ስርዓቱ ውስጥ ሲገባ, የትኛውን ፋይል እንደነካ እና መቼ, መረጃን ሲያወጣ - ይህ ሁሉ በተለያዩ ምዝግቦች ውስጥ ይከማቻል (ስርአቱ ክስተቶችን የሚመዘግብባቸው ፋይሎች) እና የተለያዩ የጊዜ ማህተሞች (የጊዜ ማህተም - አንድ ክስተት የተከሰተበት ቀን እና ሰዓት መዝገብ). የጊዜ መስመር ትንተና እነዚህን የተበታተኑ የጊዜ ማህተሞች ወደ አንድ የጊዜ ቅደም ተከተል ትረካ ያዘጋጃል እና "ምን ተፈጠረ?" የሚለውን ጥያቄ የመመለስ ጥበብ ነው። በዚህ ክፍል ውስጥ፣ AI ይህን የተመሰቃቀለ ውሂብ በማደራጀት ረገድ ታላቅ ፍጥነትን እንዴት እንደሚያቀርብ እና እርስዎን ሊያሳስት እንደሚችል እንመለከታለን።

የጊዜ ማህተም ብዛት እና ወጥመዶች

አንድ ፋይል እንኳን ብዙ ጊዜ ማህተሞች አሉት። ለምሳሌ፣ የፋይል ስርዓት የ MACB ማህተሞች አሉት፡ ተሻሽሏል፣ ተዳረሰ፣ ተለውጧል፣ ተወለደ። በተጨማሪም የስርዓተ ክወና የክስተት ምዝግብ ማስታወሻዎች (Windows Event Log)፣ የዌብ ሰርቨር ምዝግብ ማስታወሻዎች፣ የፋየርዎል ምዝግብ ማስታወሻዎች፣ የመተግበሪያ ምዝግብ ማስታወሻዎች እና መዝገቦች (የዊንዶውስ መዝገብ - የስርዓት እና የመተግበሪያ መቼቶች የሚቀመጡበት ተዋረዳዊ ዳታቤዝ) መዝገቦች አሉ።

ትልቁ ወጥመድ የሰዓት ሰቅ እና የጊዜ መንሸራተት ነው። አንድ ምዝግብ ማስታወሻ UTC (የተቀናጀ ሁለንተናዊ ጊዜ), ሌላኛው የአካባቢ ሰዓት; የስርዓት ሰዓት በስህተት ሊዋቀር ይችላል; አጥቂው ሆን ብሎ የጊዜ ማህተሞችን (timestomping — spoofing file timestamps) አድርጎ ሊሆን ይችላል። ስለዚህ የጊዜ መስመር ከመዘርጋቱ በፊት የእያንዳንዱ ምንጭ የሰዓት ሰቅ እና የሰዓት ትክክለኛነት መወሰን አለበት ፣ ሁሉም ወደ አንድ የጋራ ማጣቀሻ (ብዙውን ጊዜ UTC)።

ጥንቃቄ፡- ሁለት ምዝግቦችን ጎን ለጎን በተለያየ ጊዜ ማስቀመጥ እና "በተመሳሳይ ጊዜ ሆነ" ማለት የተለመደ ስህተት ነው። ከማዛመድዎ በፊት ሁሉንም የጊዜ ማህተሞች ወደ አንድ ማጣቀሻ ይለውጡ; አለበለዚያ በ AI (እና እርስዎ) የተመሰረተው መንስኤ-ውጤት ግንኙነት ከመጀመሪያው የበሰበሰ ነው.

ሱፐር የጊዜ መስመር እና AI

በኮምፒዩተር ፎረንሲክስ ውስጥ እነዚህን ሁሉ ምንጮች የሚያጣምረው መዋቅር ሱፐር የጊዜ መስመር ይባላል; ብዙውን ጊዜ የሚመነጨው እንደ ፕላሶ/ሎግ2ታይምላይን ባሉ መሳሪያዎች ሲሆን በአስር ሺዎች አልፎ ተርፎም በሚሊዮኖች የሚቆጠሩ ረድፎች ሊሆን ይችላል። እዚህ ነው AI የሚመጣው፡ በዚህ ግዙፍ ገበታ ላይ ትርጉም ያላቸው ንድፎችን እና ያልተለመዱ ነገሮችን ምልክት ማድረግ።

የ AI ደህንነቱ የተጠበቀ አስተዋጽዖዎች፡-

• ያልተለመደ ምልክት ማድረጊያ፡- ከሰዓታት ውጪ መድረስ፣ ድንገተኛ ልዩ መብት መጨመር፣ ያልተለመደ የሂደት ሰንሰለት፣ ብዙ ያልተሳኩ መግቢያዎች በአጭር ጊዜ ውስጥ።
• የክስተት ስብስብ፡ በአንድ ጊዜ መስኮት ላይ የሚያተኩሩ ክስተቶችን መቧደን እና "እዚህ የሆነ ነገር ተከሰተ" የሚል ምልክት ማድረግ።
• የትረካ ዝርዝር፡ የተረጋገጡ ክስተቶችን ወደ ግልጽ ቋንቋ የጊዜ ታሪክ ታሪክ መተርጎም (የሪፖርቱ የመጀመሪያ ረቂቅ)።
• ክፍተት ማግኘት፡ "በዚህ የ40 ደቂቃ ልዩነት ውስጥ ምንም ምዝግብ ማስታወሻዎች የሉም - ተሰርዘዋል?" እንደ ጉድለቶች ስለመጠየቅ።

በእያንዳንዱ ውስጥ, AI መላምቶችን ያመነጫል; ምክንያታዊነት እና የማስረጃ እሴት ታረጋግጣላችሁ።

ጠቃሚ ምክር: የጊዜ መስመሩን ለ AI ሲሰጡ በመጀመሪያ የሰዓት ሰቅ እና ቅርጸት በግልጽ ይንገሩት: "ሁሉም የጊዜ ማህተሞች በ UTC, ISO 8601 ቅርጸት ናቸው." በመጀመሪያ የተደባለቀ ቅርጸቶችን መደበኛ ያድርጉት; AI ቅርጸቱን እንዲገምት መፍቀድ የስህተት ግብዣ ነው።

ትስስር መንስኤ አይደለም

በጊዜ ትንተና ውስጥ በጣም አደገኛው አመክንዮአዊ ስህተት ተተኪነት መንስኤ እና ውጤት ነው ብሎ ማሰብ ነው። "ዩኤስቢ በ22፡10 ገብቷል፣ ፋይሉ በ22፡12 ተቀድቷል" ሁለት ክስተቶች በተከታታይ ሊከሰቱ ይችላሉ፣ ነገር ግን ያው ሰው ለዚሁ አላማ እንዳደረገው አያረጋግጡም። ሌላ ማብራሪያ ሊኖር ይችላል. AI አቀላጥፎ ትረካ ሲገነባ፣ ይህንን ክፍተት አይመለከትም እና እንደ "መረጃ በዩኤስቢ ተሰርቋል" የሚለውን ትክክለኛ ዓረፍተ ነገር ሊያወጣ ይችላል። የባለሙያው ተግባር አማራጭ ማብራሪያዎችን ማስወገድ እና እያንዳንዱን እርምጃ በገለልተኛ ማስረጃ መደገፍ ነው።

ሶስት ጥቃቅን ጉዳዮች

ጉዳይ 1 - የሰዓት ተንሸራታች ተያዘ። በአንድ አጋጣሚ የዌብ ሰርቨር ሎግ እና የፋየርዎል ሎግ ለ3 ሰአታት የተለየ ይመስላል። በመጀመሪያው ረቂቅ, AI እነዚህን "ሁለት የተለያዩ ጥቃቶች" ተመልክቷል. ኤክስፐርቱ የአገልጋዩ የሰዓት ሰቅ በስህተት መዘጋጀቱን አረጋግጧል; መደበኛ ሲሆኑ ሁለቱ ምዝግቦች ወደ አንድ ክስተት ይጣጣማሉ. የ3-ሰአት "የፋንተም ልዩነት" ጠፍቷል።

ጉዳይ 2 - አንድ ክፍተት መሰረዙን አሳይቷል. በ 1.1 ሚሊዮን የመስመር ሱፐር የጊዜ መስመር ውስጥ ፣ AI ​​በ 02: 30-03: 10 መካከል ምንም መዝገቦች እንዳልነበሩ ጠቁሟል። ኤክስፐርቱ መርምረዋል: በዚህ መስኮት ውስጥ, የደህንነት ምዝግብ ማስታወሻዎች ሆን ተብሎ ተጠርገዋል (ሎግ መጥረግ). ባዶው እራሱ ለጥቃቱ በጣም ጠንካራ ከሆኑ ማስረጃዎች አንዱ ሆነ።

ጉዳይ 3 - ቅዠት አንድ ክስተት ፈጠረ። ማጠቃለያ ሲያደርግ YZ “የአስተዳዳሪ መለያ የተፈጠረው በ03፡45 ነው” ብሏል። ኤክስፐርቱ ምንጩን ተመልክቷል: እንደዚህ አይነት የክስተት መታወቂያ አልነበረም - በዊንዶውስ ምዝግብ ማስታወሻዎች ውስጥ የዝግጅቱን አይነት የሚያመለክት ቁጥር; AI ሁለት የተለያዩ መስመሮችን አጣምሮ ያልነበረ ክስተት ፈጠረ። ከምንጩ ጋር ያለው የማገናኘት እርምጃ የውሸት ትረካውን ከልክሏል።

አራት ሊገለበጡ የሚችሉ አብነቶች

1) መደበኛ የጊዜ እቅድ;

የእርስዎ ሚና፡ የፎረንሲክ የጊዜ መስመር ተንታኝ ከተለያዩ ምንጮች የጊዜ ማህተሞችን እሰጥዎታለሁ (ቅርጸቶች እና የጊዜ ወቅቶች ሊለያዩ ይችላሉ)። በመጀመሪያ የእያንዳንዱን ምንጭ ቅርጸት እና የሰዓት ሰቅ ይወስኑ ፣ ከዚያ ሁሉንም ወደ UTC / ISO 8601 ለመቀየር እቅድ ያውጡ ። እርግጠኛ ያልሆኑትን የሰዓት ሰቅ “ማረጋገጫ ያስፈልገዋል” ብለው ምልክት ያድርጉ ።

2) ያልተለመደ ምልክት ማድረግ;

አውድ፡ የድርጅት አገልጋይ፣ መደበኛ የስራ ሰዓት 08፡00-18፡00 (UTC+3)።የተለመደውን የክስተት ዝርዝር እሰጥሃለሁ። በትክክል በዝርዝሩ ውስጥ በሚታዩ መዝገቦች ላይ በመመስረት የሚከተሉትን ይጠቁሙ፡- ከስራ ውጪ መድረስ፣ ልዩ መብት መጨመር፣ በተደጋጋሚ የመግባት አለመሳካት፣ ያልተለመደ የሂደት ሰንሰለት። ለእያንዳንዱ ምልክት ተገቢውን መስመር ይጥቀሱ። ትርጓሜ / ምክንያት መጨመር; እኔ እገመግመዋለሁ.

3) የትረካ ዝርዝር (ለሪፖርቱ)፡-

ከዚህ በታች ያረጋገጥኳቸው ክስተቶች ናቸው (እያንዳንዱ ከምንጩ ጋር)። ወደ ቀላል፣ የጊዜ ቅደም ተከተላቸው ትረካ ይቀይሯቸው። የምሰጣቸውን ክስተቶች ብቻ ተጠቀም; አዲስ ክስተት ፣ ትንበያ ወይም ምክንያት ማከል። ግልጽ ያልሆኑ ግንኙነቶችን እንደ "ሊቻል" በሚያሳይ ቋንቋ ይጻፉ።

4) ክፍተት እና አለመመጣጠን ቅኝት;

በዚህ መደበኛ የጊዜ መስመር ውስጥ፡ (1) የሚጠበቁትን ነገር ግን የጎደሉ የሚመስሉ የምዝግብ ማስታወሻዎችን፣ (2) መዝገቦች ከስራ ውጪ የሆኑ (ከወደፊት እስከ ያለፈው)፣ (3) ባች/በራስ ሰር የሚታዩ ምዝግቦችን ምልክት አድርግ። እያንዳንዱን በተዛማጅ መስመር ክፍተት አሳይ። እነዚህ የመሰረዝ/የማታለል ምልክቶች ሊሆኑ እንደሚችሉ ነገር ግን ማረጋገጫ እንዳልሆኑ ይጠቁሙ።

ደካማ ጥያቄ / ጠንካራ ጥያቄ

ደካማ ጥያቄ፡

እነዚህን ምዝግብ ማስታወሻዎች ጠቅለል አድርገው ያብራሩ እና ምን እንደተፈጠረ ያብራሩ።

ምንም የጊዜ ገደብ, ምንጭ ወይም "እውነተኛ ቀረጻ ብቻ" ገደቦች; AI አቀላጥፎ ግን የፈጠራ ታሪክ መገንባት ይችላል።

ኃይለኛ ጥያቄ፡-

የእርስዎ ሚና፡ የፎረንሲክ ሎግ ተንታኝ ምንጭ፡ 3 ምዝግብ ማስታወሻዎች (Windows Security, Apache access, firewall)፣ ሁሉም ወደ ዩቲሲ፣ አይኤስኦ 8601 የተለመደ ነው። ተግባር፡ ከመጋቢት 14 ቀን 21፡00-23፡00 በተሰጡት መስመሮች ላይ በጊዜ ቅደም ተከተል ይዘርዝሩ፤ እያንዳንዱን መስመር ከምንጩ እና ከክስተት መታወቂያ/ኮድ ጋር ጥቀስ። ተያያዥነት መመስረት, መንስኤዎችን በመጠየቅ; አስተያየት እሰጣለሁ. የሚመለከቷቸውን ክፍተቶች እንደጎደሉ ወይም ያልተለመዱ ሆነው ምልክት ያድርጉባቸው።

ምንጭ፣ መደበኛ ማጣቀሻ፣ "የተሰጠ ረድፍ ብቻ" እና "ምክንያት መመስረት" ገደቦች ውጤቱን ተከላካይ ያደርጉታል።

የጊዜ ማህተም ምንጮች ሰንጠረዥ

ምንጭ

የጊዜ ማህተም ምሳሌ

ትኩረት

የፋይል ስርዓት (MACB)

አሻሽል/መዳረሻ/ፍጠር

ለጊዜ ማጉላት ክፈት

የዊንዶውስ ክስተት ምዝግብ ማስታወሻ

የመግቢያ, ሂደት, የአገልግሎት ዝግጅቶች

የክስተት መታወቂያ ያረጋግጡ

የድር አገልጋይ መዝገብ

የጥያቄ ጊዜ

የሰዓት ሰቅ ፍተሻ

ፋየርዎል / አውታረ መረብ

ግንኙነት, አለመቀበል

የሰዓት ማመሳሰል (NTP)

መዝገብ ቤት

የመጨረሻው የጽሑፍ ጊዜ

አስተያየት እውቀትን ይጠይቃል

መተግበሪያ / አሳሽ

ታሪክ, መሸጎጫ

የአካባቢ ሰዓት ሊሆን ይችላል።

የተለመዱ ስህተቶች

• የጊዜ ርዝማኔን መደበኛ ሳያደርጉ ግንኙነትን ማቋቋም. የተለያዩ ቁርጥራጮች የውሸት "ተለዋዋጭ" ይፈጥራሉ.
• ለምክንያት የተሳሳተ ግንኙነት። ተከታታይ ክስተቶች ማለት አንድ አይነት ፈጻሚ/አላማ አይደለም።
• በጊዜ ማህተም ላይ ፍጹም እምነት። የጊዜ መጨናነቅ እና የተሳሳተ ጊዜ ይቻላል; በበርካታ ምንጮች ያረጋግጡ።
• AI የተሰበሰበውን ክስተት አለማረጋገጥ። የሁለት መስመሮች ጥምረት የማይኖር ክስተትን ሊያመጣ ይችላል።
• ክፍተቶችን ችላ ማለት. የጎደለው መዝገብ ብዙውን ጊዜ በጣም አስፈላጊው ማስረጃ ነው።

በማጠቃለያው

የጊዜ መስመር ትንተና የተበታተኑ የጊዜ ማህተሞችን ወደ አንድ የተረጋገጠ የዘመን ቅደም ተከተል የማጣመር ተግባር ነው። AI ባልተለመደ ጥቆማ፣ ክላስተር፣ ክፍተት ፈልጎ ማግኘት እና በሚሊዮን-መስመር ሱፐር የጊዜ መስመሮች ላይ በትረካ ረቂቅ ላይ ታላቅ ፍጥነትን ይሰጣል። ነገር ግን የጊዜ ወቅትን መደበኛ ማድረግ፣ የዝምድና-ምክንያት ልዩነት እና የእያንዳንዱ ክስተት ከምንጩ ጋር መያዙ የሰው ነው። AI መላምቶችን ያመነጫል; በፍርድ ቤት የዘመን አቆጣጠርን የምትከላከል አንተ ነህ።

የመተግበሪያ ተግባር

የ15-20 መስመሮችን የናሙና ዝግጅት ዝርዝር በተለያየ ቅርጸት እና የሰዓት ሰቅ ያዘጋጁ (ሆን ተብሎ የጊዜ ፈረቃ እና ቦታን ያካትቱ)። በመጀመሪያ ሁሉንም በ"Time normalization plan" አብነት ወደ ዩቲሲ ይቀይሯቸው። ከዚያ "Anomaly marking" እና "Gap scan" አብነቶችን ይተግብሩ እና ምንጩ ላይ በ AI የተቀዳውን የሰዓት ተንሸራታች እና ክፍተት ያረጋግጡ።

የማረጋገጫ ዝርዝር

• [] ሁሉንም የጊዜ ማህተሞች ወደ አንድ ማጣቀሻ (UTC) መደበኛ አድርጌዋለሁ።
• [ ] እያንዳንዱን ክስተት ከምንጩ (ፋይል/የክስተት መታወቂያ/መስመር) ጋር አገናኝቻለሁ።
• [] ተያያዥነት እና መንስኤን ለይቻለሁ; አማራጭ ማብራሪያዎችን ተመለከትኩ።
• [] የምዝግብ ማስታወሻ ክፍተቶችን እና ያልተለመዱ መዝገቦችን ምልክት አድርጌያለሁ።
• [] በዋናው ቀረጻ ውስጥ AI ያጠናከረ/ያጠቃለለባቸውን ክስተቶች አረጋግጫለሁ።