تحليل السجل والجدول الزمني: وضع الأحداث في الترتيب الصحيح

المكاسب:

• القدرة على تطبيع مصادر الطوابع الزمنية المتعددة إلى مرجع واحد (UTC) ووضع علامة على الحالات الشاذة والفجوات في المخطط الزمني الفائق باستخدام الذكاء الاصطناعي
• القدرة على التمييز بين الارتباط والسببية والتحقق من السرد الذي يقيمه الذكاء الاصطناعي من خلال ربط كل حدث بمصدره
• القدرة على التعرف على المخاطر مثل التوقيت الزمني، وانحراف الساعة، وفجوات السجل وتأكيدها بمصادر متعددة

هناك شيء واحد فقط يخبرك متى وكيف وبأي ترتيب يحدث بالفعل حدث سيبراني: الوقت. عندما دخل مهاجم إلى النظام، والملف الذي لمسه، ومتى، ومتى قام بتصفية البيانات - يتم تخزين كل هذا في سجلات مختلفة (ملفات تسجيل حيث يسجل النظام الأحداث) وطوابع زمنية مختلفة (الطابع الزمني - سجل التاريخ والوقت الذي وقع فيه الحدث). يقوم تحليل الجدول الزمني بترتيب هذه الطوابع الزمنية المتناثرة في سرد ​​زمني واحد ويسأل "ماذا حدث؟" إنه فن الإجابة على السؤال. في هذه الوحدة، سنرى كيف يوفر الذكاء الاصطناعي سرعة كبيرة في تنظيم هذه البيانات الفوضوية وأين يمكن أن يضللك.

تعدد ومزالق الطوابع الزمنية

حتى الملف الواحد له طوابع زمنية متعددة. على سبيل المثال، يحتوي نظام الملفات على طوابع MACB: Modified، Accessed، Changed، Born. بالإضافة إلى ذلك، هناك سجلات أحداث نظام التشغيل (سجل أحداث Windows)، وسجلات خادم الويب، وسجلات جدار الحماية، وسجلات التطبيقات وسجلات التسجيل (سجل Windows - قاعدة بيانات هرمية حيث يتم تخزين إعدادات النظام والتطبيق).

أكبر مأزق هو المنطقة الزمنية والانحراف الزمني. يسجل أحدهما التوقيت العالمي المنسق (UTC)، والآخر يسجل التوقيت المحلي؛ قد يتم ضبط ساعة النظام بشكل غير صحيح؛ ربما يكون المهاجم قد تلاعب عمدا بالطوابع الزمنية (الطوابع الزمنية - انتحال الطوابع الزمنية للملف). لذلك، قبل إنشاء جدول زمني، يجب تحديد المنطقة الزمنية ودقة الساعة لكل مصدر، وتطبيعها جميعًا إلى مرجع مشترك (عادةً UTC).

تحذير: من الأخطاء الكلاسيكية وضع سجلين جنبًا إلى جنب في فترات زمنية مختلفة والقول "لقد حدث ذلك في نفس الوقت". تحويل جميع الطوابع الزمنية إلى مرجع واحد قبل الربط؛ وبخلاف ذلك، فإن العلاقة بين السبب والنتيجة التي أنشأها الذكاء الاصطناعي (وأنت) فاسدة منذ البداية.

الجدول الزمني الفائق والذكاء الاصطناعي

في الطب الشرعي الحاسوبي، يُطلق على الهيكل الذي يجمع كل هذه المصادر اسم الجدول الزمني الفائق؛ غالبًا ما يتم إنشاؤه باستخدام أدوات مثل Plaso/log2timeline ويمكن أن يصل إلى عشرات الآلاف أو حتى ملايين الصفوف. هذا هو المكان الذي يأتي فيه الذكاء الاصطناعي: تحديد الأنماط والشذوذات ذات المغزى على هذا الرسم البياني الضخم.

المساهمات الآمنة للذكاء الاصطناعي:

• الإبلاغ عن الحالات الشاذة: الوصول خارج ساعات العمل، وتصعيد الامتيازات المفاجئ، وسلسلة العمليات غير العادية، وعمليات تسجيل الدخول الفاشلة المتعددة في فترة زمنية قصيرة.
• تجميع الأحداث: تجميع الأحداث التي تتركز في نفس النافذة الزمنية ووضع علامة عليها على أنها "حدث شيء ما هنا".
• المخطط السردي: ترجمة الأحداث التي تم التحقق منها إلى قصة كرونولوجية بلغة واضحة (المسودة الأولى للتقرير).
• اكتشاف الفجوة: "لا توجد سجلات خلال هذه الفترة الزمنية البالغة 40 دقيقة - هل كان من الممكن حذفها؟" السؤال عن أوجه القصور مثل.

وفي كل منها، يولد الذكاء الاصطناعي فرضيات؛ أنت تثبت السببية وقيمة الإثبات.

نصيحة: عند إعطاء المخطط الزمني للذكاء الاصطناعي، أخبره أولاً بوضوح بالمنطقة الزمنية والتنسيق: "جميع الطوابع الزمنية بتنسيق UTC، ISO 8601." تطبيع التنسيقات المختلطة أولاً؛ إن السماح للذكاء الاصطناعي بتخمين التنسيق يعد بمثابة دعوة للخطأ.

الارتباط ليس السببية

أخطر خطأ منطقي في تحليل الوقت هو الاعتقاد بأن الخلافة هي السبب والنتيجة. "تم إدخال USB في الساعة 22:10، وتم نسخ ملف في الساعة 22:12" قد يحدث حدثان متتاليان، لكنهما لا يثبتان أن نفس الشخص فعل ذلك لنفس الغرض؛ قد يكون هناك تفسير آخر. وبينما يبني الذكاء الاصطناعي سردًا سلسًا، فإنه لا يرى هذه الفجوة ويمكنه إنتاج جملة دقيقة مثل "تم سرقة البيانات عبر USB". تتمثل مهمة الخبير في إزالة التفسيرات البديلة ودعم كل خطوة بأدلة مستقلة.

ثلاث حالات صغيرة

الحالة 1 - تم اكتشاف انحراف الساعة. في إحدى الحالات، بدا سجل خادم الويب وسجل جدار الحماية مختلفين لمدة 3 ساعات. وفي المسودة الأولى، اعتبرت منظمة العفو الدولية هذين "هجومين منفصلين". ووجد الخبير أن المنطقة الزمنية للخادم تم ضبطها بشكل غير صحيح؛ عند التطبيع، يتناسب السجلان مع حدث واحد. لقد اختفى "الفرق الوهمي" لمدة 3 ساعات.

الحالة 2 - كشفت فجوة عن الحذف. في المخطط الزمني الفائق المكون من 1.1 مليون سطر، أشار الذكاء الاصطناعي إلى عدم وجود سجلات بين الساعة 02:30 والساعة 03:10. فحص الخبير: في هذه النافذة، تم مسح سجلات الأمان عمدًا (مسح السجل). أصبح الفراغ نفسه أحد أقوى الأدلة على الهجوم.

الحالة 3 - الهلوسة ملفقة لحدث. أثناء تقديم الملخص، قال YZ، "تم إنشاء حساب المسؤول في الساعة 03:45." نظر الخبير إلى المصدر: لم يكن هناك معرّف الحدث - الرقم الموجود في سجلات Windows الذي يشير إلى نوع الحدث؛ قام الذكاء الاصطناعي بدمج سطرين مختلفين وأنتج حدثًا غير موجود. خطوة الربط بالمصدر منعت السرد الكاذب.

أربعة قوالب قابلة للنسخ

1) خطة تطبيع الوقت:

دورك: محلل الجدول الزمني للطب الشرعي. سأقدم لك طوابع زمنية من مصادر مختلفة (قد تختلف التنسيقات والفترات الزمنية). حدد أولاً التنسيق والمنطقة الزمنية لكل مصدر، ثم ضع خطة لتحويلها جميعًا إلى UTC / ISO 8601. حدد المنطقة الزمنية التي لست متأكدًا منها بأنها "تحتاج إلى تأكيد".

2) علامات الشذوذ:

السياق: خادم المؤسسة، ساعات العمل العادية 08:00-18:00 (UTC+3).سأعطيك قائمة الأحداث التي تمت تسويتها. استنادًا فقط إلى السجلات التي تظهر فعليًا في القائمة، قم بوضع علامة على ما يلي: الوصول خارج ساعات العمل، وتصعيد الامتيازات، وفشل تسجيل الدخول بشكل متكرر، وسلسلة العمليات غير المعتادة. لكل علامة، اقتبس السطر المناسب. إضافة التفسير/السببية؛ سوف أقوم بتقييمه.

3) المخطط السردي (للتقرير):

فيما يلي الأحداث التي قمت بالتحقق منها (كل منها مع مصدرها). تحويلها إلى سرد زمني بسيط. استخدم فقط الأحداث التي أقدمها؛ إضافة حدث أو تنبؤ أو سببية جديدة. اكتب روابط غامضة باللغة التي تصفها بأنها "ممكنة".

4) مسح الفجوات وعدم الاتساق:

في هذا المخطط الزمني الموحد: (1) حدد فترات السجل المتوقعة ولكنها تبدو مفقودة، (2) السجلات غير مرتبة (من المستقبل إلى الماضي)، (3) الارتفاعات التي تظهر دفعة واحدة/تلقائيًا. أظهر كل منها مع تباعد الأسطر المقابل. وضح أن هذه قد تكون علامات للحذف/التلاعب ولكنها ليست دليلاً.

موجه ضعيف / موجه قوي

حث ضعيف:

لخص هذه السجلات واشرح ما حدث.

لا يوجد إطار زمني أو مصدر أو قيود على "التسجيل الحقيقي فقط"؛ يمكن للذكاء الاصطناعي إنشاء قصة بطلاقة ولكن ملفقة.

مطالبة قوية:

دورك: محلل سجلات الطب الشرعي. المصدر: 3 سجلات (أمان Windows، الوصول إلى Apache، جدار الحماية)، تم ضبطها جميعًا وفقًا للتوقيت العالمي المنسق (UTC)، ISO 8601. المهمة: قم بإدراج الأحداث بترتيب زمني من 14 مارس من الساعة 21:00 إلى 23:00 بناءً على سطور معينة فقط؛ اقتبس كل سطر مع مصدره ومعرف/رمز الحدث. إقامة الارتباط، وادعاء السببية؛ سأعلق. حدد الفواصل الزمنية التي تراها مفقودة أو غير عادية بشكل منفصل.

المصدر، والمرجع المقيس، وقيود "الصف المحدد فقط" و"تحديد السببية" تجعل المخرجات قابلة للدفاع عنها.

جدول مصادر الطوابع الزمنية

المصدر

مثال الطابع الزمني

انتبه

نظام الملفات (ماكب)

تعديل/وصول/إنشاء

مفتوحة على توقيت

سجل أحداث ويندوز

تسجيل الدخول والعملية وأحداث الخدمة

التحقق من معرف الحدث

سجل خادم الويب

وقت الطلب

فحص المنطقة الزمنية

جدار الحماية/الشبكة

اتصال، رفض

مزامنة الساعة (NTP)

التسجيل

آخر وقت للكتابة

التعليق يتطلب الخبرة

التطبيق/المتصفح

التاريخ، ذاكرة التخزين المؤقت

قد يكون التوقيت المحلي

الأخطاء الشائعة

• إنشاء الارتباط دون تطبيع الفترة الزمنية. تنشئ الشرائح المختلفة "تزامنًا" خاطئًا.
• الارتباط الخاطئ للسببية. الأحداث المتعاقبة لا تعني نفس الفاعل/الغرض.
• الثقة المطلقة في الطابع الزمني. من الممكن وجود توقيت زمني ووقت غير صحيح؛ التأكيد مع مصادر متعددة.
• عدم التحقق من الحدث الذي قام الذكاء الاصطناعي بتجميعه. اتحاد سطرين قد ينتج عنه حدث غير موجود.
• إهمال الفجوات. غالبًا ما يكون السجل المفقود هو الدليل الأكثر أهمية.

باختصار

تحليل الخط الزمني هو عملية تجميع الطوابع الزمنية المتفرقة معًا في تسلسل زمني واحد يمكن التحقق منه. يوفر الذكاء الاصطناعي سرعة كبيرة في تحديد الحالات الشاذة، والتجميع، واكتشاف الفجوات، وصياغة السرد عبر جداول زمنية فائقة مكونة من مليون سطر. لكن تطبيع الفترة الزمنية، وتمييز الارتباط والسببية، وإسناد كل حدث إلى المصدر يعود إلى البشر. الذكاء الاصطناعي يولد الفرضيات؛ أنت من يدافع عن التسلسل الزمني في المحكمة.

مهمة التطبيق

قم بإعداد قائمة أحداث نموذجية مكونة من 15-20 سطرًا بتنسيق ومنطقة زمنية مختلفة (تتضمن عن عمد تحولًا زمنيًا ومسافة). قم أولاً بتحويلها جميعًا إلى التوقيت العالمي المنسق (UTC) باستخدام قالب "خطة تسوية الوقت". ثم قم بتطبيق قوالب "وضع علامات الشذوذ" و"مسح الفجوة" وتحقق من انحراف الساعة والفجوة المسجلة بواسطة الذكاء الاصطناعي عند المصدر.

قائمة مرجعية

• [ ] لقد قمت بتطبيع جميع الطوابع الزمنية إلى مرجع واحد (UTC).
• [ ] لقد قمت بربط كل حدث بمصدره (ملف/معرف الحدث/السطر).
• [ ] ميزت بين الارتباط والسببية؛ فكرت في تفسيرات بديلة.
• [ ] قمت بتحديد فجوات السجل والسجلات غير العادية.
• [ ] لقد قمت بتأكيد الأحداث التي قام الذكاء الاصطناعي بتجميعها/تلخيصها في التسجيل الأصلي.