ድንበሮች፣ ግላዊነት፣ ስነምግባር እና ያልተፈቀደ አጠቃቀም ክልከላ

ትርፍ፡

• የደህንነት መረጃ በሦስት እርከኖች (የግል መረጃ፣ የድርጅት መረጃ፣ የተጋላጭነት ካርታ) ሚስጥራዊነት ያለው መሆኑን መረዳት እና ማንነቱ ሳይገለጽ ለውጭ መሣሪያ ሊሰጥ አይችልም።
• መከላከያን ከጥቃት የሚለየው ሥልጣንና ዓላማ ነው; ያንን መልካም እምነት ለማስፈጸም መቻል ስልጣንን አይተካም እና የተሽከርካሪው ፈቃድ ህጋዊነትን አይተካም.
• የደህንነት መረጃን ወደ ግላዊ ክትትል መቀየር እና ከእያንዳንዱ ተልእኮ በፊት 'ተፈቀደልኝ፣ ማንነትን የገለጽኩኝ፣ አላማው መከላከያ ነው' የሚለውን የመጠየቅ ልማድ ለመከተል መቻል ትችላለህ?

በዚህ ሞጁል ውስጥ፣ በሁሉም የደህንነት ባለሙያ የስራ ዘርፍ AIን እንጠቀማለን፡ የምዝግብ ማስታወሻ ትንተና፣ ማስፈራሪያ አደን፣ የተጋላጭነት ቅድሚያ መስጠት፣ የአደጋ ምላሽ፣ የማስገር ትንተና፣ የኮድ ግምገማ፣ የስጋት መረጃ፣ ሪፖርት ማድረግ። ይህ ክፍል በእነዚህ ሁሉ ኃይለኛ አጠቃቀሞች ዙሪያ የተሳሉትን መስመሮች ይመለከታል። በሳይበር ደህንነት ውስጥ የ AI ሃይል ሁለት እጥፍ ስለሆነ: ተመሳሳይ ችሎታ ለመከላከያ እና ለማጥቃት ሁለቱንም መጠቀም ይቻላል; ተመሳሳዩ የመረጃ ተደራሽነት ያፋጥናል እና መፍሰስ ይሠራል። ይህ ክፍል በ "መቻል" እና "መቻል" መካከል ያለውን ልዩነት ያብራራል.

ሁለት መሠረታዊ ገደቦች አሉ, እና ሁለቱም የማይከራከሩ ናቸው. የመጀመሪያው የግላዊነት እና የውሂብ ጥበቃ ነው፡ የደህንነት መረጃ (ምዝግብ ማስታወሻዎች፣ አይፒዎች፣ የተጠቃሚ መረጃ፣ ኮድ፣ የክስተት ዝርዝሮች) ሁለቱም የግል መረጃዎች እና ሚስጥራዊነት ያለው መረጃ የድርጅቱን የጥቃት ወለል ያሳያል። ያለ ጥበቃ የትም አይሄድም። ሁለተኛ፣ ስነምግባር እና ህጋዊነት፡ AI በተፈቀደልዎ ስርአቶች ውስጥ ብቻ ጥቅም ላይ የሚውለው ለመከላከያ ዓላማ እና ከጽሁፍ ፈቃድ ጋር ነው። ያልተፈቀደ መዳረሻ፣ የጥቃት መሳሪያዎችን መፍጠር ወይም ያልተፈቀደ ሙከራ ወንጀል ነው። የዚህ ክፍል ርዕስ መፈክር ሳይሆን ለሙያው ፈቃድ ነው፡- ያልተረጋገጠ ህትመት የይገባኛል ጥያቄ ነው፣ ያልተፈቀደ አጠቃቀም ወንጀል ነው።

ግላዊነት፡ ለምንድነው የደህንነት መረጃ ይህን ያህል ሚስጥራዊነት ያለው?

የደህንነት ውሂቡ በሶስት ንብርብሮች ሚስጥራዊነት ያለው ነው፡-

1. የግል ውሂብ ንብርብር: የተጠቃሚ ስሞች, ኢሜይሎች, አይፒዎች (በ KVKK ውስጥ እንደ የግል ውሂብ ሊቆጠሩ ይችላሉ), የመዳረሻ መዝገቦች. በKVKK እና GDPR ስር ይጠበቃል።
2. የኮርፖሬት ኢንተለጀንስ ንብርብር፡ የውስጥ አውታረ መረብ ቶፖሎጂ፣ የአገልጋይ ስሞች፣ የስም አሰጣጥ ዘዴ፣ የትኛው ስርዓት የት እንዳለ። ይህ ለአጥቂው የድርጅቱን ካርታ ይሰጠዋል.
3. የተጋላጭነት ንብርብር፡ የትኞቹ ድክመቶች ክፍት ናቸው፣ የትኛው ስርዓት ተጋላጭ ነው። መረጃው ከወጣ ይህ የአጥቂው ኢላማዎች ዝርዝር ነው።

ክስተትን በጥሬው መዝገብ፣ በእውነተኛ አይፒ እና በውስጣዊ የአገልጋይ ስሞች ወደ ይፋዊ AI መሳሪያ መለጠፍ ሶስቱን ንብርብሮች ያጋልጣል። ደንብ፡ መጀመሪያ ማንነታቸው ሳይገለጽ፣ ከተቻለ ጨርሶ አይስጡት። ትክክለኛ እሴቶችን በቋሚ ቦታ ያዢዎች ይተኩ (USER_A፣ ​​IC_IP_1፣ HOST_1)፤ ከተቻለ የውሂብ ማቀናበሪያ ውል ያላቸውን የኮርፖሬት መሳሪያዎችን ይጠቀሙ, የእርስዎን ውሂብ በሞዴል ስልጠና ውስጥ አይጠቀሙ እና በቅድመ ሁኔታ ውስጥ ቢሰሩ ይመረጣል. በአንዳንድ ሁኔታዎች (ለምሳሌ በመካሄድ ላይ ያለ የፎረንሲክ ምርመራ፣ ከፍተኛ ሚስጥራዊ መረጃ) ምንም ውጫዊ መሳሪያዎች ጥቅም ላይ አይውሉም።

ስነምግባር እና ህጋዊነት፡ የመከላከያ/የጥቃት መስመር

ተመሳሳይ እውቀት በመከላከል እና በማጥቃት ጥቅም ላይ ሊውል ይችላል; ሥልጣን እና ዓላማ ልዩነቱን ይወስናሉ. በራስዎ ስርዓት ውስጥ ተጋላጭነትን መፈለግ እና መዝጋት መከላከያ ነው; ያለፈቃድ የሌላ ሰውን ስርዓት መፈለግ ያልተፈቀደ መዳረሻ ነው። የማስገር ኢሜይልን መተንተን መከላከያ ነው; አሳማኝ የማስገር መግለጫ መጻፍ ጥቃት ነው። ምዝግብን መመርመር እና ጥቃትን መለየት መከላከያ ነው; አንድን ሰው ለመከታተል መረጃ መሰብሰብ ትንኮሳ እና ህገወጥ ነው።

የሚከተለው ሰንጠረዥ ይህንን መስመር ግልጽ ያደርገዋል.

ድርጊት

መከላከያ (ህጋዊ)

ማጥቃት/መከልከል

ተጋላጭነትን ማግኘት

በራሱ ስርዓት፣ ከፍቃድ ጋር፣ ለመዝጋት

በሌላ ሰው ውስጥ, ያለፈቃድ

የመግባት ሙከራ

በጽሑፍ ወሰን እና ፈቃድ

ያልተፈቀደ ሙከራ = ጥቃት

ማስገር

መተንተን ፣ መለየት

ማምረት ፣ መላክ

ማልዌር

ትንታኔ (በተናጥል)

መጻፍ, ማሰራጨት

መረጃ መሰብሰብ

ለዝግጅቱ, አጠቃላይ, የተመዘገበ

ለመመልከት, ሰውየውን ለመሰለል

መዳረሻ

በስልጣን ውስጥ

ያልተፈቀደ = ወንጀል

ዘመናዊ የ AI መሳሪያዎች እንደ "የሚሰራ ቤዛ ዌር ፃፉልኝ" ወይም "እንዴት ያንን ጣቢያ እንደምገባ" ያሉ ጥያቄዎችን ውድቅ ያደርጋሉ። ነገር ግን ኃላፊነቱ በተሽከርካሪው ማጣሪያ ላይ ሳይሆን በእርስዎ ሙያዊ ስነምግባር ላይ ነው። ተሽከርካሪው የሚፈቅድ ከሆነ ያልተፈቀደ አጠቃቀም ህጋዊ አይደለም.

ማረጋገጫ: የስነምግባር ቴክኒካዊ ምሰሶ

ማረጋገጥ የጥራት ደረጃ ብቻ ሳይሆን ሥነ ምግባራዊ ግዴታ ነው። ያልተረጋገጠ ውንጀላ በሪፖርት ውስጥ መፃፍ አንድን ሰው አላግባብ መክሰስ ወይም በተሳሳተ ውሳኔ ስራን ማቋረጥ ማለት ሊሆን ይችላል። በዚህ ሞጁል ውስጥ እንደ ሥነ ምግባራዊ መርሆ ያየነውን የማረጋገጫ ዲሲፕሊን እዚህ ላይ እንድገመው፡- ምንም ግኝት፣ IOC፣ CVE፣ attribution or report in the AI ​​​​የተሰራው ዓረፍተ ነገር በጥሬ ማስረጃ እና በኦፊሴላዊ ምንጭ ሳይረጋገጥ ወደ ተግባር ወይም ኦፊሴላዊ ሰነድነት ይቀየራል።

ሶስት ጥቃቅን ጉዳዮች

ጉዳይ 1 - ትክክለኛ ማንነትን መደበቅ። አንድ ተንታኝ ከ AI ጋር ያለውን ወሳኝ ክስተት መተንተን ይፈልጋል። በመጀመሪያ ሁሉንም እውነተኛ አይፒዎች፣ የተጠቃሚ ስሞች እና የውስጥ አገልጋይ ስሞችን በተከታታይ ቦታ ያዢዎች ይተካዋል፣ የኮርፖሬት ዳታ ማቀናበሪያ ውል መሣሪያን ይጠቀማል እና ስርዓተ-ጥለትን ብቻ ይጋራል። ትንታኔ ፈጣን ነው፣ ምንም ሚስጥራዊነት ያለው መረጃ አልወጣም። ትክክለኛው መንገድ ይህ ነው፡ ፍጥነት እና ግላዊነት እርስ በርስ የሚጋጩ መሆን የለባቸውም።

ጉዳይ 2 - ያልተፈቀደ "የበጎ አድራጎት ድርጅት" አንድ ኤክስፐርት “የጓደኛ ኩባንያ ደህንነቱ የተጠበቀ ከሆነ ይደነቃል” እና የኩባንያውን ስርዓት እንዴት እንደሚሞክር AI ጠየቀ። ይህ በጥሩ ሁኔታ የታሰበ ቢመስልም ያልተፈቀደለት መዳረሻ ሙከራ ነው፡ የሌላ ሰውን ስርዓት ያለ የጽሁፍ ፍቃድ እና የተወሰነ ስፋት መሞከር ወንጀል ነው። ትክክለኛው መንገድ: ምንም ሙከራ የለም; ወደ ኩባንያው የራሱ የደህንነት ቡድን ወይም የተፈቀደ የመግቢያ ሙከራ አገልግሎት በመምራት። በጎ ፈቃድ ስልጣንን አይተካም።

ጉዳይ 3 - ወደ ክትትል መቀየር. አንድ ሥራ አስኪያጅ ያ ሰው "ታማኝ" መሆኑን ወይም አለመሆኑን ለመረዳት የሰራተኛውን እንቅስቃሴ በሙሉ ከደህንነት ምዝግብ ማስታወሻዎች ለመገለጽ AI መጠቀም ይፈልጋል። ይህ ከደህንነት ዓላማ ወደ ግል ክትትል ይሸጋገራል; ሁለቱም KVKK ይጥሳል እና የደህንነት ውሂብን ህጋዊ አጠቃቀም ገደብ አልፏል። የደህንነት ባለሙያው ይህንን ውድቅ አድርጎ ጥያቄውን ወደ ተገቢው ቻናል ይመራል (HR, ህጋዊ, የተገለጸ የምርመራ ማዕቀፍ). ትምህርት: የደህንነት ውሂብ ለደህንነት ይሰበሰባል; የግል የስለላ መሳሪያ አይደለም።

ደካማ ጥያቄ / ጠንካራ ጥያቄ

ደካማ ጥያቄ፡

አህሜት ይልማዝ (10.2.14.7) ባለፉት 3 ወራት ውስጥ ያከናወናቸውን ተግባራት በሙሉ ይተንትኑ፣ አጠራጣሪ ነገር እያደረገ ነው፣ የስብዕና መገለጫ ይፍጠሩ።

ይህ ጥያቄ እውነተኛ ሰውን ያነጣጠረ ነው፣የግል መረጃን ያለ ጭንብል ያቀርባል፣ከደህንነት ዓላማዎች በላይ ይሄዳል እና ወደ ክትትል ይንሸራተታል እና እንደ "የግል መገለጫ" ያለ ህጋዊ ያልሆነ ውጤት ይጠይቃል። ሁለቱም የKVKK ጥሰት እና የስነምግባር ጥሰት ነው።

ኃይለኛ ጥያቄ፡-

የእርስዎ ሚና፡ የደህንነት ትንታኔን ለተንታኙ የሚያዘጋጅ ረዳት። በተወሰነ የክስተቶች ምርመራ ወሰን ውስጥ ስም-አልባ ውሂብ ጋር ይስሩ። ተግባር፡ በUSER_A የመዳረሻ ጥለት ውስጥ በተወሰነው የክስተት መስኮት (03፡00-04፡00) ውስጥ ከውሂብ ፍንጣቂ መላምት ጋር የሚስማማ ያልተለመደ ነገር አለ? ስለ ስብዕና / ታማኝነት አስተያየት አይስጡ; የቴክኒካዊ ንድፉን በማስረጃ መስመር ብቻ ይገምግሙ። መርጠው አይውጡ። ውሂብ፡ [ስም የለሽ፣ የሚመለከተው መስኮት ብቻ]

ጠንከር ያለ ጥያቄው ስም-አልባ ነው፣ ለተወሰነ የምርመራ ወሰን የተገደበ፣ የግል ትርጉም አይፈልግም፣ በተዛማጅ መረጃ እና ቴክኒካዊ ንድፍ ብቻ ይሰራል።

ሊገለበጡ የሚችሉ የጥያቄ አብነቶች

የማይታወቅ ኦዲት አብነት የሚከተለውን ውሂብ ለውጫዊ AI መሳሪያ ከመስጠትዎ በፊት ያረጋግጡ፡ በውስጡ የቀረው እውነተኛ አይፒ፣ የተጠቃሚ ስም፣ ኢሜይል፣ የውስጥ አስተናጋጅ/አገልጋይ ስም፣ የጎራ ስም፣ የድርጅት መረጃ፣ የግል መረጃ አለ? ሁሉንም ይዘርዝሩ እና ወጥ የሆነ ቦታ ያዢዎችን ይጠቁሙ። አጠራጣሪ ነገር ካለ አስጠንቅቅ። ውሂብ: [ለጥፍ]

የወሰን እና የስልጣን ፍተሻ አብነት የማደርገውን የደህንነት ተግባር ፈትሽ፡ በተፈቀደልኝ የስርዓት ገደብ ውስጥ ነው፣ በተወሰነ ዓላማ/ምርመራ ውስጥ ነው፣ ወደ ግላዊ ክትትል የሚሸጋገር ነው፣ የጽሁፍ ፍቃድ ያስፈልገዋል? ቀይ ባንዲራ ካለ አስጠንቅቁ እና ህጋዊ አማራጭን ይጠቁሙ። ተግባር: [መጻፍ]

የስነምግባር ወሰን አስታዋሽ አብነት ጥያቄውን ይገምግሙ፡ መከላከያ እና ፍቃድ ያለው ነው ወይስ ያልተፈቀደ መዳረሻ/ጥቃት/ክትትል ወሰን ውስጥ ወድቋል? ህጋዊ ከሆነ፣ ደህንነቱ በተጠበቀ ሁኔታ እንዴት እንደሚደረግ፣ ካልሆነ፣ ለምን መደረግ እንደሌለበት እና ትክክለኛውን ቻናል ይፃፉ። ጥያቄ፡ [መፃፍ]

የማረጋገጫ መስፈርት አብነት ለእያንዳንዱ ግኝት፣ IOC፣ CVE፣ መለያ እና የሪፖርት ዓረፍተ ነገር፣ "በየትኛው ጥሬ ማስረጃ/ኦፊሴላዊ ምንጭ መረጋገጥ አለበት" የሚል ማስታወሻ ያክሉ። እስካልተረጋገጠ ድረስ ድርጊት ወይም ኦፊሴላዊ ሰነድ እንደማይሆን አስብ። ተግባር: [መጻፍ]

የተለመዱ ስህተቶች

• ስም-አልባነትን በማለፍ። ለማንኛውም "ውስጣዊ አጠቃቀም" ማለት ስህተት ነው; ማንኛውም ትክክለኛ IP/ተጠቃሚ/አስተናጋጅ ወደ ውጫዊው AI መሳሪያ መፍሰስ ነው።
• ለስልጣን መልካም ሀሳብን መሳሳት። "መርዳት እፈልግ ነበር" ያልተፈቀደ መዳረሻን አያጸድቅም; የጽሑፍ ፈቃድ እና የተወሰነ ወሰን ያስፈልጋል።
• የደህንነት ውሂብን ወደ ክትትል መቀየር. ምዝግብ ማስታወሻዎች ለደህንነት ሲባል ይሰበሰባሉ; ሰውን መገለጽ/መከታተል የKVKK ጥሰት እና አላግባብ መጠቀም ነው።
• የተሽከርካሪው ፍቃድ ህጋዊነት ነው ብሎ በማሰብ። AI አንድን ነገር ስለማይቀበል ብቻ ያ ድርጊት ህጋዊ/ሥነ ምግባራዊ አይደለም; ኃላፊነቱ በአንተ ላይ ነው።
• ማረጋገጥን እንደ ቅንጦት ማሰብ። ማስረጃ የሌለው ክስ አንድን ሰው አላግባብ ሊከስ ወይም ሥራ ሊያቆም ይችላል; ማረጋገጥ የስነምግባር ግዴታ ነው።

ጠቃሚ ምክር፡ ከማንኛውም ተግባር በፊት ሶስት ጥያቄዎችን ጠይቅ፡ "በዚህ ስርዓት ውስጥ ስልጣን አግኝቻለሁን? ይህን ውሂብ ስም ደብቄዋለሁ? ይህ አላማ መከላከያ ነው ወይስ ክትትል/አጥቂ ነው?" ለሦስቱም “አዎ/መከላከል” ማለት ካልቻላችሁ፣ ቆም ብላችሁ በሥልጣን ያለውን ሰው አማክሩ።

ጥንቃቄ፡ ያልተፈቀደ መዳረሻ፣ ያልተፈቀደ ሙከራ፣ ሰርጎ መግባት እና የግል ክትትል፤ በመልካም ዓላማ ቢደረግም ወንጀልና ከዚህ ሙያ ውጪ ነው። የ AI ሃይል ይህንን መስመር አይቀይረውም, በትክክል ጥቅም ላይ ከዋለ ፍጥነቱን ይጨምራል. ገደቡ ቴክኒካዊ ሳይሆን ህጋዊ እና ስነምግባር ነው።

በማጠቃለያው

ይህ ክፍል በሞጁሉ ውስጥ በተማሩት ኃይለኛ አጠቃቀሞች ዙሪያ ያልተከራከሩ መስመሮችን አስቀምጧል። ሁለት ድንበሮች አሉ፡ ሚስጥራዊነት (የደህንነት መረጃ የግል መረጃ + የድርጅት መረጃ + የተጋላጭነት ካርታ ነው፤ ከተቻለ ስም ሳይገለጽ አይሰጥም) እና ስነምግባር/ህጋዊነት (AI ጥቅም ላይ የሚውለው በተፈቀደላቸው ስርዓቶች፣ ለመከላከያ ዓላማዎች፣ በጽሁፍ ፈቃድ ብቻ ነው)። መከላከያን ከጥቃት የሚለየው ሥልጣንና ዓላማ ነው; ጥሩ እምነት ስልጣንን አይተካም, እንዲሁም የተሽከርካሪ ፍቃድ ህጋዊነትን አይተካም. ማረጋገጥ ጥራት ብቻ ሳይሆን ውንጀላዎች ያለ ማስረጃ እና የተሳሳቱ ውሳኔዎች እንዳይከሰቱ የሚያደርግ የስነምግባር ግዴታ ነው። ከእያንዳንዱ ተልእኮ በፊት ሶስት ጥያቄዎች፡ ተፈቅጄልኛል፣ ስማቸውን ያልገለጽኩት፣ አላማው መከላከያ ነው?

የመተግበሪያ ተግባር

በሞጁሉ ውስጥ ከተማሯቸው ተግባራት ውስጥ ሦስቱን ይምረጡ (ለምሳሌ የምዝግብ ማስታወሻ ፣ የአስጋሪ ትንተና ፣ የአጋጣሚ ምርመራ)። ለእያንዳንዱ የ"Scope and Authorization Control" እና ​​"Anonymization Control" አብነቶችን ይተግብሩ፡ ተፈቅዶልዎታል፣ ውሂቡን እንዴት ማን እንደሚለውጡት፣ አላማው ድንበር መከላከል ነው? ከዛ ገደብ ያለፈ (ያልተፈቀደ/ክትትል) የናሙና ጥያቄ ይፃፉ እና ለምን ውድቅ እንደሚደረግ እና ትክክለኛው ሰርጥ ምን ​​እንደሆነ በ"ሥነ ምግባር ገደብ አስታዋሽ" አብነት ይፃፉ።

የማረጋገጫ ዝርዝር

• [ ] በእያንዳንዱ ሚና እኔ የምሰራው በተፈቀደልኝ ስርዓቶች ላይ ብቻ ነው።
• [ ] ውሂቡን ለውጫዊ መሳሪያው ከመስጠቴ በፊት ማንነቱን አልገለጽኩትም እና ዘረፋሁት።
• [ ] አላማው መከላከል እንጂ ክትትል/ጥቃት እንዳልሆነ አረጋግጫለሁ።
• [ ] በጎ ፈቃድን በሥልጣን፣ ወይም የተሽከርካሪውን ፈቃድ በሕጋዊነት አልተኩትም።
• [ ] የግል መገለጫ/መከታተያ ጥያቄዎችን ውድቅ አድርጌ ወደ ትክክለኛው ቻናል መራኋቸው።
• [ ] እያንዳንዱን ግኝት/IOC/CVE/ጥቅስ/የይገባኛል ጥያቄ ሳላረጋግጥ ወደ ተግባር አልቀየርኩም።
• [ ] ሲጠራጠር፣ ባለስልጣን (ህጋዊ፣ አስተዳደራዊ፣ የውሂብ ተቆጣጣሪ) ውስጥ ያለን ሰው አማክሬ ነበር።