Qazanclar:
- Çox vaxt damğası mənbələrini bir istinada (UTC) normallaşdırmaq və süni intellektlə super xronometrajdakı anomaliyaları və boşluqları qeyd etmək bacarığı
- Korrelyasiya və səbəb əlaqəsini ayırd etmək və hər bir hadisəni mənbəyə bağlamaqla süni intellekt tərəfindən qurulmuş hekayəni yoxlamaq bacarığı
- Zamanlama, saat sürüşməsi və log boşluqları kimi riskləri tanımaq və onları bir çox mənbə ilə təsdiqləmək bacarığı
Kiber hadisənin əslində nə vaxt, necə və hansı ardıcıllıqla baş verdiyini sizə deyən yalnız bir şey var: vaxt. Təcavüzkar sistemə daxil olduqda, hansı fayla toxundu və məlumatları nə vaxt çıxardı - bütün bunlar müxtəlif jurnallarda (sistemin hadisələri qeyd etdiyi qeyd faylları) və müxtəlif vaxt ştamplarında (zaman möhürü — hadisənin baş verdiyi tarix və vaxtın qeydi) saxlanılır. Zaman qrafiki təhlili bu səpələnmiş zaman ştamplarını vahid xronoloji povestdə təşkil edir və “nə baş verib?” sualını verir. Suala cavab vermək sənətidir. Bu bölmədə biz süni intellektin bu səliqəsiz məlumatların təşkilində necə böyük sürət təmin etdiyini və sizi harada çaşdıra biləcəyini görəcəyik.
Vaxt ştamplarının çoxluğu və tələləri
Hətta tək bir faylda birdən çox vaxt damğası var. Məsələn, fayl sistemində MACB ştampları var: Dəyişdirilmiş, Əldə edilmiş, Dəyişdirilmiş, Doğulmuş. Bundan əlavə, əməliyyat sistemi hadisə qeydləri (Windows Event Log), veb server qeydləri, firewall qeydləri, proqram qeydləri və reyestr (Windows reyestri - sistem və proqram parametrlərinin saxlandığı iyerarxik verilənlər bazası) qeydləri var.
Ən böyük tələ saat qurşağı və vaxtın sürüşməsidir. Bir jurnalda UTC (koordinasiya edilmiş universal vaxt), digərində yerli vaxt qeyd olunur; sistemin saatı səhv qurulmuş ola bilər; Təcavüzkar bilərəkdən vaxt ştamplarını manipulyasiya etmiş ola bilər (timestomping — saxtalaşdırma faylı vaxt ştampları). Beləliklə, bir zaman çizelgesi yaratmazdan əvvəl, hər bir mənbənin saat qurşağı və saat dəqiqliyi müəyyən edilməlidir, hamısı ümumi istinad üçün normallaşdırılmalıdır (adətən UTC).
Diqqət: Müxtəlif vaxtlarda iki logu yan-yana qoymaq və "eyni zamanda baş verib" demək klassik səhvdir. Əlaqələndirmədən əvvəl bütün vaxt ştamplarını bir istinada çevirin; Əks halda, AI (və siz) tərəfindən qurulan səbəb-nəticə əlaqəsi əvvəldən çürükdür.
Super vaxt qrafiki və AI
Kompüter kriminalistikasında bütün bu mənbələri birləşdirən struktur super timeline adlanır; Tez-tez Plaso/log2timeline kimi alətlərlə yaradılır və on minlərlə və hətta milyonlarla sıra ola bilər. Süni intellektin işə girdiyi yer budur: bu nəhəng diaqramda mənalı nümunələri və anomaliyaları qeyd etmək.
AI-nin təhlükəsiz töhfələri:
- Anomaliya işarəsi: İş saatları xaricində giriş, qəfil imtiyazların artması, qeyri-adi proses zənciri, qısa müddətdə çoxsaylı uğursuz girişlər.
- Hadisələrin qruplaşdırılması: Eyni vaxt pəncərəsində cəmləşən hadisələri qruplaşdırmaq və onları "burada nəsə baş verib" kimi qeyd etmək.
- Hekayə konturu: Təsdiqlənmiş hadisələrin sadə dildə xronoloji hekayəyə çevrilməsi (hesabat üçün ilk layihə).
- Boşluğun aşkarlanması: "Bu 40 dəqiqəlik intervalda qeydlər yoxdur - onlar silinə bilərdi?" kimi nöqsanlar haqqında soruşmaq.
Hər birində AI fərziyyələr yaradır; Siz səbəb əlaqəsini və sübut dəyərini sübut edirsiniz.
İpucu: Süni intellektə vaxt qrafiki verərkən, əvvəlcə ona saat qurşağını və formatını dəqiq deyin: "Bütün vaxt ştampları UTC, ISO 8601 formatındadır." Əvvəlcə qarışıq formatları normallaşdırın; AI-nin formatı təxmin etməsinə imkan vermək səhvə dəvətdir.
Korrelyasiya səbəb-nəticə deyil
Zaman təhlilində ən təhlükəli məntiqi səhv ardıcıllığın səbəb və nəticə olduğunu düşünməkdir. "USB 22:10-da daxil edildi, fayl 22:12-də kopyalandı" iki hadisə ardıcıl olaraq baş verə bilər, lakin eyni şəxsin bunu eyni məqsədlə etdiyini sübut etmir; Başqa bir izahat ola bilər. Süni intellekt axıcı bir hekayə qurarkən, bu boşluğu görmür və "Məlumat USB vasitəsilə oğurlandı" kimi dəqiq bir cümlə yarada bilər. Ekspertin işi alternativ izahatları aradan qaldırmaq və hər bir addımı müstəqil sübutlarla dəstəkləməkdir.
üç mini qutu
1-ci hal - Saat sürüşməsi tutuldu. Bir halda, veb server jurnalı və təhlükəsizlik duvarı jurnalı 3 saat ərzində fərqli görünürdü. İlk layihədə AI bu "iki ayrı hücumu" nəzərdən keçirdi. Ekspert müəyyən edib ki, serverin saat qurşağı düzgün qurulmayıb; Normallaşdırıldıqda, iki qeyd bir hadisəyə uyğun gəlir. 3 saatlıq "xəyal fərqi" getdi.
Case 2 - Boşluq silinməni aşkar etdi. 1,1 milyon sətirli super qrafikdə AI 02:30-03:10 arasında heç bir qeydin olmadığını qeyd etdi. Ekspert araşdırdı: Bu pəncərədə təhlükəsizlik qeydləri qəsdən təmizləndi (log silmə). Boşluğun özü hücumun ən güclü sübutlarından birinə çevrildi.
3-cü hal - Halüsinasiya bir hadisə uydurdurdu. Xülasə edərkən YZ "Administrator hesabı 03:45-də yaradılıb" dedi. Mütəxəssis mənbəyə baxdı: belə bir hadisə identifikatoru yox idi — Windows jurnallarında hadisənin növünü göstərən nömrə; AI iki fərqli xətti birləşdirdi və mövcud olmayan bir hadisə yaratdı. Mənbə ilə əlaqələndirmə addımı yalan rəvayətin qarşısını aldı.
Dörd kopyalana bilən şablon
1) Vaxtın normallaşdırılması planı:
Sizin rolunuz: məhkəmə-tibbi ekspertizası analitiki. Mən sizə müxtəlif mənbələrdən vaxt möhürləri verəcəyəm (formatlar və müddətlər fərqli ola bilər). Əvvəlcə hər bir mənbənin formatını və saat qurşağını müəyyənləşdirin, sonra hamısını UTC / ISO 8601-ə çevirmək üçün plan hazırlayın. Əmin olmadığınız saat qurşağını "təsdiq lazımdır" kimi qeyd edin.
2) Anomaliya işarəsi:
Kontekst: müəssisə serveri, normal iş saatı 08:00-18:00 (UTC+3). Mən sizə normallaşdırılmış hadisə siyahısını verəcəyəm. Yalnız siyahıda AKTİVİYƏ görünən qeydlərə əsaslanaraq, aşağıdakıları qeyd edin: iş saatları xaricində giriş, imtiyazların yüksəldilməsi, dəfələrlə uğursuz giriş, qeyri-adi proses zənciri. Hər bir işarə üçün müvafiq sətirdən sitat gətirin. Təfsir/səbəb əlaqəsinin əlavə edilməsi; Mən qiymətləndirəcəm.
3) Hesabat planı (hesabat üçün):
Aşağıda DOĞRULADIĞIM hadisələr (hər biri öz mənbəyi ilə). Onları sadə, xronoloji povestə çevirin. Yalnız verdiyim hadisələrdən istifadə edin; yeni bir hadisə, proqnoz və ya səbəb əlaqəsi əlavə etmək. Onları "mümkün" kimi xarakterizə edən qeyri-müəyyən əlaqələri dildə yazın.
4) Boşluq və uyğunsuzluğun skan edilməsi:
Bu normallaşdırılmış qrafikdə: (1) gözlənilən, lakin əskik görünən jurnal dövrlərini qeyd edin, (2) sıradan çıxmış qeydləri (gələcəkdən keçmişə), (3) toplu/avtomatik olaraq görünən tırmanışları. Hər birini müvafiq sətir aralığı ilə göstərin. Qeyd edək ki, bunlar silinmə/manipulyasiya ƏLAMƏTLƏRİ ola bilər, lakin sübut deyil.
Zəif məlumat / Güclü göstəriş
Zəif çağırış:
Bu qeydləri ümumiləşdirin və baş verənləri izah edin.
Vaxt çərçivəsi, mənbə və ya "yalnız real qeyd" məhdudiyyəti yoxdur; AI səlis, lakin uydurma bir hekayə qura bilər.
Güclü göstəriş:
Rolunuz: məhkəmə jurnalı analitiki. Mənbə: 3 jurnal (Windows Təhlükəsizliyi, Apache girişi, firewall), hamısı UTC, ISO 8601 standartına uyğunlaşdırılıb. Tapşırıq: 14 mart 21:00-23:00 arası hadisələri yalnız verilmiş sətirlər əsasında xronoloji siyahıya salın; mənbə və Hadisə ID/kodu ilə hər bir sətirdən sitat gətirin. Korrelyasiya qurmaq, səbəb əlaqəsini iddia etmək; şərh edəcəyəm. Çatışmayan və ya qeyri-adi gördüyünüz intervalları ayrıca qeyd edin.
Mənbə, normallaşdırılmış arayış, "yalnız verilmiş cərgə" və "səbəb əlaqəsinin qurulması" məhdudiyyətləri çıxışı müdafiə edilə bilən edir.
Vaxt möhürü mənbələri cədvəli
Mənbə
Vaxt damğası nümunəsi
Diqqət
Fayl sistemi (MACB)
Dəyişdirmək/girmək/yaratmaq
Zamanlamaya açıqdır
Windows hadisələr jurnalı
Giriş, proses, xidmət hadisələri
Hadisə ID-sini yoxlayın
veb server jurnalı
sorğu vaxtı
vaxt zonasının yoxlanılması
firewall/şəbəkə
əlaqə, imtina
Saat sinxronizasiyası (NTP)
Qeydiyyat
Son yazma vaxtı
Şərh ekspertiza tələb edir
Proqram/brauzer
tarix, önbellek
yerli vaxt ola bilər
Ümumi səhvlər
- Vaxt dövrünü normallaşdırmadan korrelyasiya qurmaq. Fərqli dilimlər yalançı "koncurrency" yaradır.
- Səbəb əlaqəsini səhv salmaq. Ardıcıl baş verən hadisələr eyni cinayətkar/məqsəd demək deyil.
- Vaxt damğasına mütləq etibar. Zamana çatma və səhv vaxt mümkündür; Çox mənbə ilə təsdiqləyin.
- Süni intellektin yığıldığı hadisənin yoxlanılması. İki xəttin birləşməsi mövcud olmayan bir hadisə yarada bilər.
- Boşluqlara məhəl qoymamaq. Çatışmayan log çox vaxt ən vacib sübutdur.
Xülasə
Xronologiyanın təhlili səpələnmiş vaxt ştamplarının bir yoxlanıla bilən xronologiyaya birləşdirilməsi aktıdır. Süni intellekt anomaliyaların qeyd edilməsində, klasterləşdirmədə, boşluqların aşkarlanmasında və milyon sətirli super xronometrajlarda hekayə tərtibində böyük sürət təmin edir. Amma zaman dövrünün normallaşması, korrelyasiya-səbəb fərqi, hər bir hadisənin mənbəyə aid edilməsi insana məxsusdur. AI fərziyyələr yaradır; Məhkəmədə xronologiyanı müdafiə edən sizsiniz.
Tətbiq tapşırığı
Müxtəlif formatda və saat qurşağında 15-20 sətirdən ibarət nümunə hadisə siyahısı hazırlayın (qəsdən vaxt dəyişikliyi və boşluq daxil edin). Əvvəlcə onların hamısını "Vaxt normallaşdırma planı" şablonu ilə UTC-yə çevirin. Sonra "Anomaliya işarəsi" və "Boşluq taraması" şablonlarını tətbiq edin və mənbədə AI tərəfindən qeydə alınan saat sürüşməsini və boşluğu yoxlayın.
yoxlama siyahısı
- [ ] Mən bütün vaxt ştamplarını bir istinada (UTC) normallaşdırdım.
- [ ] Mən hər hadisəni mənbə ilə əlaqələndirdim (fayl/Hadisə ID/sətir).
- [ ] Mən korrelyasiya ilə səbəb əlaqəsini fərqləndirdim; Alternativ izahatları nəzərdən keçirdim.
- [ ] Mən log boşluqlarını və qeyri-adi qeydləri qeyd etdim.
- [ ] Mən AI-nin orijinal qeyddə birləşdirdiyi/ümumlaşdırdığı hadisələri təsdiqlədim.