አስጊ አደን፡ መላምቶችን ማቋቋም እና በአርቴፊሻል ኢንተለጀንስ ምልክቶችን መፈለግ

ትርፍ፡

• ማስፈራሪያ አደን እንዴት እንደሚጀመር በማንቂያ ሳይሆን በሚሞከር መላምት እና አርቴፊሻል ኢንተለጀንስ መላምት ለማመንጨት እና ለመጠየቅ ማርቀቅ እንዴት እንደሚረዳ ይረዱ።
• በአርቴፊሻል ኢንተለጀንስ የደመቀው ተቃራኒ/ ብርቅዬ ምልክት በቀጥታ ተንኮል አዘል ዓላማ ማለት እንዳልሆነ እና መላምቱ በጥሬ ማስረጃ መረጋገጥ አለበት።
• በአርቴፊሻል ኢንተለጀንስ የተሰጠውን የ MITER ATT&CK ቴክኒካዊ ቁጥሮች እና የክስተት መታወቂያዎችን ከኦፊሴላዊው ምንጭ ጋር የማጣራት እና የተፈጠሩ ቴክኒካዊ ዝርዝሮችን የማስወገድ ችሎታ።

ክላሲክ የደህንነት ክትትል "ማንቂያውን ይጠብቁ, ሲመጣ ይመልከቱ" ከሚለው አመክንዮ ጋር ይሰራል. ነገር ግን በጣም አደገኛ የሆኑት አጥቂዎች ማንቂያዎችን ላለማስነሳት ይሞክራሉ: ህጋዊ መሳሪያዎችን ይጠቀማሉ (ይህ "መበዝበዝ" ይባላል - ማለትም በሲስተሙ ላይ ያሉ መሳሪያዎችን አላግባብ መጠቀም, ለምሳሌ PowerShell, WMI), ቀስ ብለው ይንቀሳቀሳሉ እና በተለመደው ትራፊክ ውስጥ ጣልቃ ይገባሉ. ለዛም ነው ማስፈራሪያ አደን የተወለደው፡ ማንቂያ ሳይጠብቅ፡ "በድርጅቴ ውስጥ በአሁኑ ጊዜ ያልታወቀ አጥቂ ቢኖር የት ይሆን?" በጥያቄው ዱካዎችን በንቃት መፈለግ፡- ዛቻ አደን የሚጀምረው በማንቂያ ሳይሆን በመላምት ነው።

ሰው ሰራሽ የማሰብ ችሎታ በሁለት ቦታዎች በአስጊ አደን ውስጥ በጣም ጠቃሚ ነው. የመጀመሪያው መላምት ማመንጨት ነው፡ የጥቃት ቴክኒክን ስጡ እና "ይህ ዘዴ በእኔ ተቋም ውስጥ ጥቅም ላይ ከዋለ በየትኞቹ ምዝግቦች እና በምን አይነት ጥለት ላይ አሻራ ይተዋል?" ብለህ መጠየቅ ትችላለህ። ሁለተኛው የሲግናል ማውጣት ነው፡- በትልቅ ዳታ ውስጥ ብርቅዬ፣ ወጣ ያለ፣ “ከመደበኛው የተለየ”ን ሊያጎላ ይችላል። ነገር ግን AI ለድርጅትዎ የተለመደውን አያውቅም እና መላምት "የተረጋገጠ" ነው ብሎ በማሰብ ወጥመድ ውስጥ ሊወድቅ ይችላል። በአስጊ አደን, AI የአእምሮ አጋር እና ስካነር ነው; አዳኙ (ተንታኙ) አዳኙ እውነተኛ ስጋት እንዳገኘ እና ይህ ሪፖርት እንደሚደረግ ይወስናል።

የማስፈራሪያ አደን ደረጃዎች

1. መላምት ተጨባጭ፣ ሊሞከር የሚችል ዓረፍተ ነገር፡- "አንድ አጥቂ የውስጥ አውታረ መረቡን በንግድ ባልሆኑ ሰዓታት ውስጥ በተበላሸ መለያ እየቃኘ ሊሆን ይችላል።" እዚህ ለአእምሮ ማጎልበት AI መጠቀም ይችላሉ።
2. የውሂብ ምንጭን ይለዩ. መላምቱን የሚያረጋግጠው/የሚያቀርበው የትኛው መዝገብ ነው? (ለምሳሌ የፋየርዎል እና የዲ ኤን ኤስ ምዝግብ ማስታወሻዎች ለአውታረ መረብ መቃኘት፣ የመታወቂያ ምዝግብ ማስታወሻዎች ለልዩ መብት።)
3. ጥያቄውን ዲዛይን ያድርጉ። የታለመውን ስርዓተ-ጥለት የሚፈልግ ጥያቄ (የSIEM መጠይቅ ቋንቋ፣ KQL፣ SQL-like)። AI ጥያቄዎችን ለማዘጋጀት ይረዳል; አንተ ግን መጠይቁን ገምግመህ አሂድ።
4. ውጤቱን ያውጡ. በመቶዎች ከሚቆጠሩ የመስመሮች ውጤት እውነተኛውን ምልክት አጣራ። እዚህ AI ክላስተር እና ማጠቃለያ ይሰራል።
5. ያረጋግጡ ወይም ውድቅ ያድርጉ። የተገኘው ፈለግ በእውነት ተንኮል አዘል ወይም ንጹህ መሆኑን በጥሬ መረጃ እና አውድ ያረጋግጡ።
6. ውጤቱን ይመዝግቡ እና ወደ ውሳኔ ይለውጡት. የተገኘውን ትክክለኛ ንድፍ ወደ ቋሚ የመፈለጊያ ደንብ ይለውጡ; መላምቱ ካልተሳካ፣ ያንንም ይመዝግቡ (አሉታዊ ውጤቱም መረጃ ነው።)

ውሎች፡ TTP (ስልቶች፣ ቴክኒኮች፣ ሂደቶች — የአጥቂ ባህሪ ጥለት)። MITER ATT&CK የተዘረዘረ እና የተመዘገበ የአጥቂ ቴክኒኮች ቤተ-መጽሐፍት ነው (ለምሳሌ T1078 “ትክክለኛ መለያዎች”)። በአስጊ አደን ውስጥ የተለመደ ቋንቋ ያቀርባል. IOC (የጥሰት አመልካች - መጥፎ አይፒ, ሃሽ, ጎራ). ነጭ ጫጫታ (ነጩ/የሚታወቅ-ጥሩ) አዳኝን ለመሰዋት የሚታወቅ የተለመደ ባህሪ ነው።

የዛቻ አደን አቀራረቦች ሰንጠረዥ

አቀራረብ

መነሻ ነጥብ

የ AI አስተዋጽዖ

ትኩረት

መላምት ላይ የተመሰረተ አደን።

"እንዲህ አይነት አጥቂ ቢኖር..."

መላምት ማመንጨት፣ የስርዓተ-ጥለት መግለጫ

መላምት ማስረጃ አይደለም።

IOC ላይ የተመሰረተ አደን

የሚታወቅ መጥፎ አመልካች

IOCsን ከምዝግብ ማስታወሻዎች ጋር ማዛመድ

የድሮ/የተሳሳተ IOC ያሳሳታል።

በTTP/ATT&CK ላይ የተመሰረተ አደን።

ቴክኒክ (ቲ-ቁጥር)

ቴክኒኩን ወደ ምዝግብ ማስታወሻ በመቀየር ላይ

ቴክኒክ ≠ ነጠላ ጥለት

Anomaly ላይ የተመሠረተ አደን

የስታቲስቲክስ መዛባት

ውጫዊውን አድምቅ

ተቃራኒ ≠ መጥፎ እምነት

የቁልል ድግግሞሽ ትንተና

"በጣም ያልተለመደው ምንድን ነው?"

ያልተለመደ ክስተት በማግኘት ላይ

ብርቅ ≠ አደገኛ

ሶስት ጥቃቅን ጉዳዮች

ጉዳይ 1 - ብርቅዬዎችን መፈለግ. አንድ አዳኝ "በውስጣዊው አውታረመረብ ላይ የትኛው ሂደት በጣም ጥቂት በሆኑ ኮምፒውተሮች ላይ ይሰራል ነገር ግን ብዙ የአውታረ መረብ ግንኙነቶችን ይፈጥራል?" ብሎ ሊጠይቅ ይችላል። መላምቱን ያስቀምጣል። አይአይ ስም-አልባ የሂደት-ግንኙነት ውሂብ ስርዓተ-ጥለትን ያደምቃል-በ 2 ማሽኖች ላይ ብቻ የሚታየው svchost32.exe የሚባል ሂደት ከ 340 የውጭ አድራሻዎች ጋር እየተገናኘ ነው። አዳኙ ይህንን ይመረምራል; ህጋዊውን svchost.exe የሚመስል ማልዌር ያገኛል። AI ብርቅውን አጣርቶ; አዳኙ ምርመራውን እና ጣልቃ ገብነትን አድርጓል.

ጉዳይ 2 - ያልተሳካው (ግን ዋጋ ያለው) አደን. አንድ አዳኝ "በስራ ባልሆኑ ሰዓቶች ውስጥ ብዙ ውሂብ ማውረድ ሊኖር ይችላል?" የእሱን መላምት ይመሰርታል; AI ተገቢውን የጥያቄ ረቂቅ ይጽፋል። ውጤት፡ 3 ተጠቃሚዎች በምሽት አውርደዋል ነገርግን ሶስቱም የባህር ማዶ ቢሮ ሰራተኞች ናቸው እና በሰአት ሰቅ ልዩነት በስራ ሰአት ይሰራሉ። መላምቱ ውድቅ ተደርጓል። አዳኙ ይህንን እንደ "አሉታዊ ውጤት" ያስቀምጣል እና እነዚህን 3 ተጠቃሚዎች ለወደፊት አደን እንደ ልዩነታቸው ይጠቅሳል። ያልተሳካው አደን እንኳን ተቋሙን በደንብ እንድናውቀው አስችሎናል።

ጉዳይ 3 - የተቀናጀ የቴክኒክ ወጥመድ። አንድ አዳኝ AI "በድርጅቴ ውስጥ T1055 ቴክኒክን እንዴት እፈልጋለሁ?" ይላል። AI “T1055 የሚከተለውን የክስተት መታወቂያ ያመነጫል” የሚል አሳማኝ ጥያቄ እና ማረጋገጫ ይጽፋል። ግን የሰጠው የክስተት መታወቂያ የተሳሳተ ነው እና ሞዴሉ የATT&CK ንዑስ ቴክኒክን ፈጠረ። Avcı የ MITER ATT & CK መዝገብ ይከፍታል, ቴክኒካዊ መግለጫውን እና እውነተኛ የምዝግብ ማስታወሻ ምንጮችን ያረጋግጣል እና የተሳሳተውን የክስተት መታወቂያ ያስተካክላል. ትምህርት፡ AI የሚሰጠውን እያንዳንዱን ቴክኒካዊ ዝርዝሮች (የክስተት መታወቂያ፣ ቲ-ቁጥር፣ ሎግ መስክ) ከኦፊሴላዊው ምንጭ ጋር ያረጋግጡ።

ደካማ ጥያቄ / ጠንካራ ጥያቄ

ደካማ ጥያቄ፡

በእኔ አውታረ መረብ ላይ አጥቂ ካለ እወቅ።

ይህ የይገባኛል ጥያቄ መላምት-ነጻ፣ ከውሂብ-ነጻ፣ ያልተገደበ እና የማይረጋገጥ ነው። AI አጠቃላይ ወይም የተሰራ ዝርዝር ያወጣል; ምንም ጥቅም የለውም.

ኃይለኛ ጥያቄ፡-

የእርስዎ ሚና፡ ለአደጋ አዳኝ ሀሳቦችን እና ዝርዝሮችን የሚሰጥ ረዳት። አትወስን, "አስጊ አለ" አትበል. የእኔ መላምት፡ "የተበላሸ መለያ ከንግድ ውጭ በሆኑ ሰዓቶች ውስጥ የውስጥ ወደቦችን እየቃኘ ሊሆን ይችላል።" የሚከተለውን ይፍጠሩ፡ (1) የሚያረጋግጡትን የምዝግብ ማስታወሻ ምንጮች ይዘርዝሩ እና ይህንን መላምት ውድቅ ያድርጉ፣ (2) የሚፈለገውን የኮንክሪት ንድፍ ይግለጹ (የትኞቹ መስኮች፣ ምን ደረጃዎች ናቸው)፣ (3) የምሳሌ መጠይቅ ረቂቅ ይፃፉ እና እያንዳንዱን መስመር አስተያየት ይስጡ፣ (4) በውጤቱ ውስጥ የትኞቹ ንጹህ ያልሆኑ ማብራሪያዎች እንደሚወገዱ ይፃፉ። የሚመለከተውን የ MITER ATT&CK ቴክኒክ ይጠቁሙ፣ነገር ግን የቲ-ቁጥር እና የክስተት መታወቂያውን እንደ "[ከMITER መረጋገጥ አለበት]" ብለው ምልክት ያድርጉበት፣ አያድርጉት።

ጠንካራው የይገባኛል ጥያቄ በተጨባጭ መላምት ይጀምራል፣የማስረጃ/የማስተባበል ሚዛኑን ያስቀምጣል፣ጥያቄው ተብራርቷል እና ቴክኒካዊ ዝርዝሩን ለማረጋገጥ ይተወዋል።

ሊገለበጡ የሚችሉ የጥያቄ አብነቶች

መላምት ትውልድ አብነት ለተቋሜ [ አካል፡ ለምሳሌ፡ በ[Active Directory/Cloud/መጨረሻ ነጥብ]5 ውስጥ ሊሞከር የሚችል ስጋት አደን መላምቶችን ይፍጠሩ። ለእያንዳንዱ መላምት፡ (1) የትኛውን አጥቂ ባህሪ ያነጣጠረ፣ (2) የትኛው የምዝግብ ማስታወሻ ምንጭ ማስረጃ/ማስተባበያ ይሰጣል፣ (3) የሚጠበቀው ንድፍ። ሊመረመሩ የሚችሉ ዓረፍተ ነገሮችን እንጂ አጠቃላይ አይደሉም።

ቴክኒክ ስርዓተ ጥለት በኔ [የቴክኒክ ስም] ተቋም ውስጥ የሚከተለውን የጥቃት ቴክኒክ እፈልጋለሁ። አመንጪ፡ (1) ቴክኒኩ በተለምዶ አሻራውን ያረፈባቸውን የምዝግብ ማስታወሻዎች፣ (2) የኮንክሪት ንድፎችን እና ጣራዎችን መፈለግ፣ (3) ይህን ስርዓተ-ጥለት ሊያስከትሉ የሚችሉ ንፁህ (ውሸት አዎንታዊ) ሁኔታዎች። የሚመለከተውን የMITRE ATT&CK ቲ-ቁጥር ያቅርቡ ነገር ግን "[ከ MITER መረጋገጥ አለበት]" ባንዲራ ያለው። የፈጠራ ክስተት መታወቂያ/ቁጥር አትስጡ።

የጥያቄ ረቂቅ አብነት የሚከተለውን ስርዓተ-ጥለት የሚፈልግ [SIEM/KQL/SQL] የመጠይቅ ረቂቅ ይፃፉ፡ [ንድፍ መግለጫ]።እያንዳንዱን መስመር አስተያየት ይስጡ፣ የትኛውን መስክ እንደሚያጣሩ እና ለምን እንደሆነ ያብራሩ እና የአፈጻጸም አደጋዎችን ምልክት ያድርጉ። ጥያቄውን ገምግሜ አሂድ ታካሂዳለህ ብለህ አታስብ። እኔ በማውቀው እቅድ መሰረት "[ከሼማ ጋር ትክክል]" የሚል ምልክት የተደረገባቸውን የመስክ ስሞች ይተዉት።

አብነት የማደኑ ውጤት የሚከተሉትን መስመሮች (ስም የለሽ) አስገኝቷል፡ [ለጥፍ]። ይመድቧቸው እና ለእያንዳንዱ ቡድን (1) ተንኮል አዘል ሁኔታን ፣ (2) ቢያንስ 2 ንፁህ ማብራሪያዎችን እና (3) ለመለየት ተጨማሪ ማስረጃዎችን ይፃፉ። ውሳኔ መስጠት; እንዳትለይህ። ማስረጃ ለሌለው የይገባኛል ጥያቄ “[ምንም መሠረት]” ምልክት ያድርጉ።

የተለመዱ ስህተቶች

• ያለ መላምት ማደን። “አንድ ነገር ፈልግ” ማለት AI እንዲገምተው እና እንዲስተካከል ይገፋፋዋል። ማደን የሚጀምረው በተጨባጭ፣ ሊሞከር በሚችል ዓረፍተ ነገር ነው።
• ለመረጃ የሚሆን መላምት ስህተት። አደኑ እድሉን ይፈትሻል; የተገኘው ፈለግ በጥሬ ማስረጃ እስካልተረጋገጠ ድረስ “ስጋት” አይደለም።
• ተቃራኒውን በራስ-ሰር እንደ መጥፎ አድርገው ይቆጥሩታል። ብርቅዬው/ውጪው ብዙ ጊዜ ንፁህ ነው (ጥገና፣ አዲስ ሶፍትዌር፣ የአንድ ጊዜ ስራ)። ከዐውደ-ጽሑፉ ጋር ማጣራት።
• ቴክኒካዊ ዝርዝሮችን አለማረጋገጥ። AI የክስተት መታወቂያ፣ ቲ-ቁጥር እና የምዝግብ ማስታወሻ መስክን ማዛመድ ይችላል። በ MITER ATT&CK እና በምርት ሰነዶች ያረጋግጡ።
• የባከነውን መያዝ መጣል። አሉታዊ ውጤቱም እውቀት ነው: ድርጅቱን በደንብ ይተዋወቃል, የወደፊት የውሸት አወንታዊ ውጤቶችን ይቀንሳል; ሰነድ.

ጠቃሚ ምክር፡ ጥሩ የማስፈራሪያ አደን መላምት “የሚሞከር” መሆን አለበት፡ ተጨባጭ የይገባኛል ጥያቄ እውነት ወይም ሐሰት ሊሆን ይችላል። "በኔ ኔትወርክ ውስጥ መጥፎ ነገር አለ?" መሞከር አይቻልም; "መለያ X ከንግድ ውጭ በሆኑ ሰዓቶች ከ50 በላይ የውስጥ አይፒዎች ጋር ተገናኝቷል?" መሞከር ይቻላል.

ትኩረት፡ የዛቻ አደን የሚደረገው እርስዎ እንዲሰሩ በተፈቀዱ ስርዓቶች ላይ ብቻ ነው። ሌላ ድርጅት፣ ሰው ወይም አውታረ መረብ ፈቃድ የሌለህበትን AI እንዲመረምር መጠየቅ ያልተፈቀደለት መዳረሻ ለማግኘት የሚደረግ ሙከራ እና ከዚህ ሞጁል ውጪ ነው።

በማጠቃለያው

ማስፈራሪያ አደን ማንቂያ ሳይጠብቅ የተደበቀ አጥቂን ፈለግ በንቃት መፈለግ ሲሆን የሚጀምረውም በማንቂያ ሳይሆን በመላምት ነው። AI በዚህ ሂደት ውስጥ ሁለት ኃይለኛ አስተዋጽዖዎችን ያቀርባል፡ ሊፈተኑ የሚችሉ መላምቶችን እና የጥያቄ ረቂቆችን ማመንጨት እና ከትልቅ ዳታ የሚመጡ ብርቅዬ/ውጫዊ ምልክቶችን ማጣራት። ግን AI ለድርጅትዎ መደበኛ የሆነውን አያውቅም ፣ ቴክኒካዊ ዝርዝሮችን ሊፈጥር እና ለመረጃ መላምት በመሳሳት ወጥመድ ውስጥ ሊወድቅ ይችላል። ስለዚህ አደኑ ስድስት እርከኖች አሉት ( መላምት፣ ዳታ፣ መጠይቅ፣ ማውጣት፣ ማረጋገጥ፣ ሰነድ) እና በእያንዳንዱ እርምጃ ውሳኔው በአዳኙ ላይ ብቻ ነው። ተቃራኒ ≠ መጥፎ፣ መላምት ≠ ማስረጃ፣ በ AI የተሰጠ ቴክኒካዊ ዝርዝር ≠ ትክክል; ሁሉም በጥሬ ማስረጃ እና በ MITER ATT&CK ተረጋግጠዋል።

የመተግበሪያ ተግባር

ለራስህ ድርጅት (ወይም የናሙና አካባቢ) 5 የዛቻ አደን መላምቶችን በ« መላምት ትውልድ» አብነት አግኝ። በጣም ሊሞከር የሚችለውን ይምረጡ፣ ጥያቄን በ"ስርዓተ ጥለት ቴክኒክ" እና "መጠይቅ ረቂቅ" አብነቶች ይቅረጹ፣ በጥያቄው ውስጥ ያለውን እያንዳንዱን ረድፍ እና እያንዳንዱ የተጠቆመ ቲ-ቁጥር በ MITER ATT&CK ያረጋግጡ። ውጤቱን ( መላምቱ ተረጋግጧል፣ ውድቅ የተደረገ፣ ምን ተማርክ) በአጭር የአደን ማስታወሻ ጻፍ።

የማረጋገጫ ዝርዝር

• [ ] ማደን የጀመርኩት በተጨባጭ፣ ሊሞከር በሚችል መላምት ነው።
• [ ] መላምቱን የሚያረጋግጡ እና ውድቅ የሚያደርጉ የምዝግብ ማስታወሻ ምንጮችን ለይቻለሁ።
• [ ] የጥያቄውን ረቂቅ እያንዳንዱን መስመር ገምግሜ ከራሴ እቅድ ጋር አስማማሁት።
• [ ] የታቀደውን MITER ATT&CK ቴክኒክ እና የክስተት መታወቂያዎችን ከኦፊሴላዊው ምንጭ አረጋግጫለሁ።
• [] እያንዳንዱን ምልክት በጥሬ ማስረጃ እና በዐውደ-ጽሑፍ አረጋግጣለሁ; ተቃራኒውን እንደ መጥፎ አልቆጠርኩትም።
• [ ] እንዲሁም ያልተሳካውን መላምት መዘገብኩ (አሉታዊ ውጤቱ መረጃ ነው)።
• [ ] ለማደን በተፈቀደልኝ ስርዓቶች ላይ ብቻ ነው የማደንኩት።