المكاسب:
- إن فهم أن الذكاء الاصطناعي يعمل على تسريع الاستجابة للحوادث من خلال تلخيص الأدلة وإنشاء الجدول الزمني وفرز الأسباب الجذرية وصياغة قواعد اللعبة، ولكن قرار العزل/القفل/الإغلاق/الإخطار يعود إلى الفريق المعتمد.
- القدرة على تقييم خيارات الاحتواء من حيث تأثير الأعمال وإمكانية عكسها وعدم عزل البنية التحتية الحيوية دون قياس تأثيرها
- القدرة على فهم أن سرعة الاسترداد لا يمكن أن تتغلب على الحفاظ على الأدلة (صورة الطب الشرعي، وسلسلة الأدلة) وأن خطوات الطب الشرعي لا يمكن نقلها إلى الذكاء الاصطناعي
عندما يقع حادث أمني، الوقت هو العدو. مع بدء انتشار برامج الفدية، فهذا يعني أنه يتم تشفير المزيد من الأجهزة كل دقيقة؛ بمجرد اختراق الحساب، يقوم المهاجم بالبحث بشكل أعمق كل دقيقة. الاستجابة للحوادث (IR باختصار) هي عملية اكتشاف حادث أمني والحد منه وتنظيفه وإعادته إلى وضعه الطبيعي. تتطلب العلاقات الدولية اتخاذ القرارات تحت الضغط، وبمعلومات غير كاملة، ومع مرور الوقت؛ ولهذا السبب بالضبط يجب أن تكون سريعة ومنضبطة.
يجلب الذكاء الاصطناعي سرعة لا تقدر بثمن إلى IR: يلخص بسرعة الأدلة المتفرقة (السجلات والتنبيهات وبيانات EDR)، ويضع جدولًا زمنيًا للحدث، ويعدد السبب الجذري المحتمل، وينتج مسودة دليل (دليل التدخل خطوة بخطوة محدد مسبقًا) ويحدد تقرير ما بعد التدخل. لكن القرارات الأكثر أهمية في مجال علاقات المستثمرين - مثل عزل النظام عن الشبكة، أو قفل الحساب، أو إغلاق الخادم، أو حذف الأدلة أو الحفاظ عليها - هي القرارات التي يمكن التراجع عنها، وتسبب انقطاع الأعمال، والتأثير على العمليات القضائية. ولا يمكن تفويض هذه الأمور إلى الذكاء الاصطناعي. الذكاء الاصطناعي هو محرك تحليل وصياغة في مجال الأشعة تحت الحمراء؛ قرار العزل والقفل والإغلاق والتبليغ يعود لفريق الاستجابة المختص.
مراحل الاستجابة للحوادث
يتكون الإطار المشترك في الصناعة (المعتمد على NIST) من ست مراحل. في كل مرحلة، تختلف مساعدة الذكاء الاصطناعي وحدوده:
- الإعداد: كتيبات اللعب والأدوار وخطة الاتصال جاهزة مسبقًا. يساعد الذكاء الاصطناعي في إنتاج أدلة التشغيل وسيناريوهات التدريب - قبل الحدث، وليس في الوقت الحالي.
- الكشف والتحليل: يتم التحقق من الحدث وتحديد نطاقه. يلخص الذكاء الاصطناعي الأدلة، ويحدد جدولًا زمنيًا، ويسرد فرضيات السبب الجذري. القرار متروك للمحلل.
- الاحتواء: يتم إيقاف الانتشار (العزل، قفل الحساب). وهذا القرار الحاسم يعود إلى البشر؛ يسرد الذكاء الاصطناعي الخيارات وتأثيراتها فقط.
- الاستئصال: تتم إزالة الحسابات الضارة والمستترة والمخترقة. يقوم الذكاء الاصطناعي بإنتاج قائمة مرجعية؛ التنفيذ والتحقق أمران بشريان.
- الاسترداد: يتم استرداد الأنظمة ومراقبتها بطريقة خاضعة للرقابة. يوصي الذكاء الاصطناعي بخطة مراقبة.
- الدروس المستفادة: السبب الجذري، والجدول الزمني، والتحسين. يقوم الذكاء الاصطناعي بإعداد مسودة التقارير واقتراحات التحسين؛ وهو ضمن فريق الموافقة.
المصطلحات: EDR (اكتشاف نقطة النهاية والاستجابة لها - برنامج يعمل على نقاط النهاية، أي أجهزة الكمبيوتر، ويمكنه اكتشاف السلوك المشبوه والرد عليه). السبب الجذري هو نقطة البداية الفعلية للحدث ("كيف دخلوا في المقام الأول؟"). سلسلة الحراسة هي سجل متواصل لمن وكيف ومتى تم جمع الأدلة الجنائية؛ إنه أمر بالغ الأهمية في العملية القانونية. MTTR (متوسط وقت الاستجابة) هو مقياس أداء فريق IR.
جدول سلطة اتخاذ القرار
عمل الأشعة تحت الحمراء
دور الذكاء الاصطناعي
من يقرر
لماذا
تلخيص الأدلة، الجدول الزمني
منتج، مسرع
يؤكد المحلل
خطر الهلوسة
فرضية السبب الجذري
فارز، اقتراح
محلل
السياق والأدلة المطلوبة
مسودة كتاب اللعب (سابقًا)
مولد رسم
يؤكد زعيم IR
قابلية التطبيق
عزل النظام
خيارات القوائم فقط
محلل معتمد
انقطاع العمل، العودة
تأمين الحساب
يعطي تحليل التأثير
محلل معتمد
القفل الخاطئ يوقف العمل
حذف/حفظ الأدلة
يحذر، اقتراحات
زعيم الأشعة تحت الحمراء + القانون
تتأثر العملية القضائية
إشعار قانوني/تنظيمي
كاتب مسودة
القانون + الإدارة
المسؤولية القانونية
ثلاث حالات صغيرة
الحالة 1 - ملخص سريع تحت الضغط. يأتي تنبيه برنامج الفدية في الساعة 2:40 صباحًا. يقدم المحلل سجلات EDR وجدار الحماية (عن طريق إخفاء الهوية) إلى الذكاء الاصطناعي. يقوم الذكاء الاصطناعي بإنشاء جدول زمني كل 90 ثانية: "01:55 فتح مرفق التصيد، 02:10 تنزيل PowerShell، 02:30 بدء الحركة الجانبية، تأثر 3 أجهزة." يؤكد المحلل هذه السلسلة بسجل EDR الخام، ويعزل الأجهزة الثلاثة المتأثرة وفقًا لتقديره، ويوقف الانتشار. وخفض الذكاء الاصطناعي قراءة الأدلة من 20 دقيقة إلى 90 ثانية؛ اتخذ المحلل قرار العزل.
الحالة 2 - توصية العزل الخاطئة. في إحدى الحالات، يقول الذكاء الاصطناعي: "حركة المرور من IC_HOST_7 مشبوهة، معزولة". يقوم المحلل بالتحقق من السياق: IC_HOST_7 هو خادم المصادقة الرئيسي للمؤسسة؛ إذا تم العزل، يتوقف جميع الموظفين عن الدخول. علاوة على ذلك، فإن سبب حركة المرور هو نسخة احتياطية مشروعة. لا يقوم المحلل بعزل الارتباط المشبوه، بل يقوم فقط بمراقبته. الدرس المستفاد: لا يمكن تنفيذ توصية عزل الذكاء الاصطناعي دون معرفة تأثيرها على الأعمال؛ بالنسبة للبنية التحتية الحيوية، فإن القرار يتخذ بعناية بشرية.
الحالة 3 - تدمير الأدلة عن طريق الخطأ. سأل أحد الفريق، وهو في عجلة من أمره للتنظيف، الذكاء الاصطناعي "كيف يمكنني تنظيف هذه الآلة بسرعة؟" يسأل؛ يعرض الذكاء الاصطناعي إعادة تثبيت النظام. لكن الآلة تحتوي على أدلة جنائية (تفريغ الذاكرة، أدوات المهاجم) لم يتم جمعها بعد؛ إعادة التثبيت ستدمر سلسلة الأدلة. يتأكد كبير المحللين أولاً من التقاط الصورة (نسخة الطب الشرعي) ثم يقوم بتنظيفها. الدرس المستفاد: لا يمكن لسرعة التعافي أن تتفوق على الحفاظ على الأدلة؛ ولا يتم تفويض الخطوات القضائية إلى منظمة العفو الدولية.
موجه ضعيف / موجه قوي
حث ضعيف:
هناك هجوم ببرامج الفدية، ماذا علي أن أفعل؟ ما هي الأجهزة التي يجب علي إيقاف تشغيلها؟
تطلب هذه المطالبة من الذكاء الاصطناعي اتخاذ قرار تشغيلي مباشر (أي آلة سيتم إيقاف تشغيلها)، ولا تقدم أي سياق أو تأثير على الأعمال أو أي دليل. يعطي الذكاء الاصطناعي تعليمات عامة أو محفوفة بالمخاطر؛ وإذا تم تطبيقه بشكل أعمى، فسيتوقف العمل أو تختفي الأدلة.
مطالبة قوية:
دورك: مساعد يقدم التحليل والخيارات لفريق الاستجابة للحوادث. لا تتخذ قراراً؛ لا تأمر بإيقاف تشغيل/عزل هذا الجهاز، فقط قم بإدراج الخيارات والتأثير المحتمل لكل منها. قم بمعالجة الأدلة المجهولة التالية: [EDR/ملخص السجل]. مهمتك: (1) إنشاء جدول زمني محتمل للحدث، وإظهار الدليل الذي تستند إليه كل خطوة، ووضع علامة على الدليل الذي لا أساس له على أنه "[يجب التحقق منه]"، (2) قائمة 3 فرضيات السبب الجذري، وكتابة كيفية اختبار كل منها، (3) قائمة خيارات الاحتواء (العزل والمراقبة والإغلاق) وكتابة تأثير الأعمال / المخاطر الاحتياطية لكل منها؛ اترك القرار لي،(4) ذكرني بالخطوات اللازمة للحفاظ على الأدلة قبل العزل.
يحد الطلب القوي من الذكاء الاصطناعي كمزود للخيارات، ويربطه بالأدلة، ويؤكد على تأثير الأعمال والحفاظ على الأدلة، ويترك القرار للبشر.
قوالب سريعة قابلة للنسخ
قالب الجدول الزمني للحدث قم بإنشاء جدول زمني للحدث الزمني من دليل الأشعة تحت الحمراء المجهول هذا. كل سطر: [الزمن] [الحدث] [مصدر الدليل]. إضافة خطوة بدون طابع زمني أو إثبات؛ ضع علامة على الفراغ كـ "[مفقود - يجب جمعه]". القرار/التوصية، التصنيف يعتمد على الأدلة فقط. الأدلة: [لصق]
نموذج فرضية السبب الجذري قم بإنشاء 3-5 فرضيات السبب الجذري الأكثر احتمالاً لهذا الحدث. ولكل فرضية: (1) الأدلة التي بنيت عليها، (2) الأدلة الإضافية التي سيتم جمعها لتأكيدها، (3) أي آثار أخرى متوقعة إذا كانت صحيحة. فلا تعلن يقينًا لأحد منهم؛ استخدم لغة الاحتمال. ملخص الحدث: [لصق]
قالب خيار العقد قم بإدراج خيارات الاحتواء للحالة التالية (عزل / مراقبة / قفل / مقطع). بالنسبة لكل خيار: تأثير الأعمال، وصعوبة العودة، والتأثير على الأدلة، ومخاطر الطب الشرعي. لا تعطيني الأوامر؛ سأتخذ القرار. إنها مناسبة بشكل خاص إذا كانت البنية التحتية الحيوية (الهوية، DNS، النسخ الاحتياطي) متضمنة. الحالة: [لصق]
نموذج مسودة دليل التشغيل (الإعداد قبل الحدث) للسيناريو التالي [على سبيل المثال. تسوية البريد الإلكتروني للعمل] اكتب مسودة دليل التدخل خطوة بخطوة: المشغل، الأدوار، الاحتواء، التدمير، الاسترداد، الاتصال، خطوات الإخطار. ضع علامة اختيار "[موافقة بشرية]" بجوار كل قرار حاسم. ولا تدخل هذه المسودة حيز التنفيذ دون موافقة رئيس الثورة الإسلامية.
الأخطاء الشائعة
- دع الذكاء الاصطناعي يتخذ قرارات تشغيلية. السؤال "ما الجهاز الذي يجب علي إيقاف تشغيله" يعود إلى الفريق الذي يعرف تأثير الأعمال، وليس على الذكاء الاصطناعي؛ الذكاء الاصطناعي يقدم فقط الاختيار والتأثير.
- تنظيف الأدلة دون جمعها. إن تدمير الأدلة الجنائية من أجل السرعة أمر لا رجعة فيه؛ تفريغ الصورة والذاكرة قبل العزل/التنظيف.
- استيراد المخطط الزمني إلى التقرير دون التحقق من صحته. يمكن للذكاء الاصطناعي أن يشكل سلسلة الأحداث؛ قم بتأكيد كل خطوة بالأدلة الأولية.
- عزل البنية التحتية الحيوية دون تفكير. يمكن أن يؤدي عزل الهوية وDNS وخادم النسخ الاحتياطي إلى توقف المؤسسة بأكملها؛ قياس التأثير أولا.
- كتابة قواعد اللعبة لأول مرة وقت وقوع الحادث. يتم إعداد قواعد اللعبة أثناء مرحلة الإعداد؛ إن محاولة الكتابة من الصفر وقت وقوع الحادثة تثير الذعر والأخطاء.
نصيحة: في IR، أخبر الذكاء الاصطناعي دائمًا "اذكر الخيارات وتأثيراتها، دعني أقرر." هذه الجملة الواحدة تحول الذكاء الاصطناعي من "طيار آلي" خطير إلى "مستشار" آمن.
تحذير: يمكن أن يكون لعزل النظام أو قفل الحساب أو حذف الأدلة عواقب لا رجعة فيها ويؤثر على العمليات القضائية/القانونية. يتم اتخاذ هذه القرارات بموافقة فريق الاستجابة المعتمد، وعند الضرورة، بموافقة قانونية وإدارية؛ مخرجات الذكاء الاصطناعي هي اقتراح وليس أمراً.
في ملخص
تتطلب الاستجابة للحوادث اتخاذ قرارات سريعة ومنضبطة تحت الضغط ومع مرور الوقت. يعمل الذكاء الاصطناعي على زيادة هذه السرعة بشكل كبير من خلال تلخيص الأدلة، وبناء الجدول الزمني، وفرز الأسباب الجذرية، وصياغة قواعد اللعبة. لكن الإجراءات الأكثر أهمية التي تتخذها IR - العزل، وإغلاق الحساب، وإغلاق النظام، وحذف/حفظ الأدلة، والإشعار القانوني - هي قرارات لا رجعة فيها وتؤدي إلى انقطاع الأعمال وعواقب قانونية ولا يمكن تفويضها إلى الذكاء الاصطناعي. في كل مرحلة من المراحل الست (الإعداد، والكشف، والاحتواء، والتدمير، والإنقاذ، والدرس)، ينتج الذكاء الاصطناعي التحليل والمخطط؛ القرار يعود للفريق المخول. هناك قاعدتان ذهبيتان: تنقية الأدلة دون الحفاظ عليها، وعزل البنية التحتية الحيوية دون قياس تأثيرها.
مهمة التطبيق
اختر سيناريو حالة (على سبيل المثال، الاستيلاء على الحساب بعد التصيد الاحتيالي). الخطوط العريضة لتحليل من الذكاء الاصطناعي باستخدام قوالب "الجدول الزمني للحدث" و"فرضية السبب الجذري"؛ اكتب الأدلة التي ستستخدمها للتحقق من كل خطوة في الجدول الزمني. بعد ذلك، باستخدام قالب "الخيار المحدود"، بمجرد أن يكون لديك ثلاثة خيارات مقيدة، قم بتقييم تأثير الأعمال لكل منها بنفسك ولاحظ الخيار الذي ستختاره ولماذا (وماذا ستفعل أولاً للحفاظ على الأدلة).
قائمة مرجعية
- [ ] قمت بتقييد الذكاء الاصطناعي كخادم خيار/تحليل؛ لقد اتخذت القرار التشغيلي.
- [ ] لقد قمت بالتحقق من كل خطوة في الجدول الزمني باستخدام الأدلة الأولية، والتخلص من التلفيق.
- [ ] لقد خططت لخطوة جمع الأدلة (الصورة، تفريغ الذاكرة) قبل العزل/التنظيف.
- [ ] قمت أولاً بقياس تأثير العزل على البنية التحتية الحيوية على الأعمال.
- [ ] لقد تعاملت مع فرضيات السبب الجذري على أنها احتمالات يجب اختبارها، وليست نهائية.
- [ ] لقد قمت بإعداد دليل قواعد اللعبة قبل الحدث وأرسلته إلى قائد علاقات المستثمرين للموافقة عليه.
- [ ] لقد قمت بإدراج موافقة قانونية/إدارية في الحالات التي تتطلب إشعارًا قانونيًا.