লাভ:
- বোঝার ক্ষমতা যে কৃত্রিম বুদ্ধিমত্তা তিনটি স্তরে (কৌশলগত, কৌশলগত, প্রযুক্তিগত) দীর্ঘ হুমকি প্রতিবেদনগুলিকে সংক্ষিপ্ত করে এবং IOC এবং TTP বের করে তাদের MITER ATT&CK-এ ম্যাপ করে।
- বর্তমান এবং দ্বিতীয় স্বাধীন উৎসের সাথে প্রতিটি IOC যাচাই করার ক্ষমতা, ATT&CK-এ প্রতিটি কৌশল এবং বানোয়াট IOC/টেকনিক/গ্রুপ বের করা
- বোঝার ক্ষমতা যে গ্রুপ অ্যাট্রিবিউশন সবচেয়ে ঝুঁকিপূর্ণ দাবি, যে ভাষা 'কৌশলের সাথে সামঞ্জস্যপূর্ণ' ব্যবহার করা উচিত 'সঠিক গোষ্ঠী' এর পরিবর্তে এবং প্রতিরক্ষা স্থায়ী টিটিপি নির্ধারণের উপর ভিত্তি করে হওয়া উচিত।
একটি নিরাপত্তা দল একা শুধুমাত্র আক্রমণের সাথে লড়াই করে না; বিশ্বজুড়ে হামলার জ্ঞান শেয়ার করে শেখে। থ্রেট ইন্টেলিজেন্স (সংক্ষেপে TI) হল আক্রমণকারী, তারা যে সরঞ্জামগুলি ব্যবহার করে, তাদের লক্ষ্য এবং পদ্ধতি সম্পর্কে তথ্য সংগ্রহ, প্রক্রিয়াজাত এবং কর্মে পরিণত করা। "এখন কোন ম্যালওয়্যার ছড়িয়ে পড়ছে?", "এই আক্রমণকারী গোষ্ঠীটি কোন সেক্টরকে টার্গেট করছে এবং এটি কীভাবে কাজ করে?", "এই আইপি ঠিকানাটি কি আগে আক্রমণে দেখা গেছে?" এই ধরনের প্রশ্নের উত্তর হুমকি বুদ্ধি থেকে আসে.
সমস্যা হল হুমকি বুদ্ধি প্রচুর এবং ছড়িয়ে ছিটিয়ে রয়েছে: রিপোর্ট, ব্লগ, ফিড, ফোরাম, হাজার হাজার আইওসি। AI এই স্ট্যাকের বোঝার জন্য শক্তিশালী: এটি দীর্ঘ হুমকির প্রতিবেদনের সংক্ষিপ্তসার করে, একটি আক্রমণের বর্ণনা থেকে কাঠামোগত IOC এবং TTP বের করে, সেগুলিকে MITER ATT&CK কাঠামোতে ম্যাপ করে এবং জিজ্ঞাসা করে "এটি কি আমাদের উদ্বেগজনক?" প্রশ্নের প্রথম খসড়া প্রস্তুত করে। কিন্তু AI ভুল করতে পারে পুরানো, ভুল বা প্রেক্ষাপটের বাইরের বুদ্ধিমত্তাকে সত্য বলে, একটি অস্তিত্বহীন হুমকি গোষ্ঠী বা IOC তৈরি করতে পারে এবং বুদ্ধিমত্তা সত্যিই আপনার প্রতিষ্ঠানের জন্য বৈধ কিনা তা জানতে পারে না। AI সংক্ষিপ্তকরণ, কাঠামো এবং মানচিত্র বুদ্ধিমত্তা; এটি বিশ্লেষকের উপর নির্ভর করে যে একটি IOC ব্লক করা, সংস্থার কাছে গোয়েন্দা তথ্য প্রয়োগ করা এবং একটি প্রতিবেদন "অ্যাকশনযোগ্য" ঘোষণা করা।
হুমকি বুদ্ধির স্তর
হুমকি বুদ্ধি তিনটি স্তরে বিবেচনা করা হয়:
- টেকনিক্যাল/অপারেশনাল (IOC লেভেল): কংক্রিট সূচক — খারাপ আইপি, ডোমেইন, হ্যাশ, ইউআরএল। এটি স্বল্পস্থায়ী (আক্রমণকারী আইপি পরিবর্তন করে)। এআই রিপোর্ট থেকে এগুলি বের করতে এবং তাদের গঠন করতে দ্রুত।
- কৌশলগত (টিটিপি স্তর): আক্রমণকারী কীভাবে আচরণ করে — সে কী কৌশল, সরঞ্জাম, পদ্ধতি ব্যবহার করে। এটি আরও স্থায়ী (আচরণ পরিবর্তন করা কঠিন)। MITER ATT&CK এই স্তরের সাধারণ ভাষা।
- কৌশলগত: কে টার্গেট করছে, কেন, কোন সেক্টর, কোন প্রবণতা নিয়ে। এটা ব্যবস্থাপনা সিদ্ধান্ত ফিড. এআই এই স্তরে দীর্ঘ প্রতিবেদনের সারসংক্ষেপ করে।
শর্তাবলী: আইওসি (আপোষের সূচক — লঙ্ঘনের সূচক, কংক্রিট প্রযুক্তিগত ট্রেস)। TTP (কৌশল, কৌশল, পদ্ধতি — আচরণগত প্যাটার্ন)। MITER ATT&CK, আক্রমণকারী কৌশলগুলির একটি সংখ্যাযুক্ত, নথিভুক্ত লাইব্রেরি (যেমন T1566 "ফিশিং")। এপিটি (অ্যাডভান্সড পারসিস্টেন্ট থ্রেট — উন্নত, ক্রমাগত, প্রায়ই রাষ্ট্র-স্পন্সর আক্রমণকারী গোষ্ঠী)। ফিড, স্বয়ংক্রিয়ভাবে আপডেট হওয়া IOC স্ট্রিম। মিস্যাট্রিবিউশন, ভুল গোষ্ঠীর আক্রমণকে দায়ী করা; এটি বুদ্ধিমত্তার সবচেয়ে সাধারণ ভুল।
বুদ্ধিমত্তা উৎস মূল্যায়ন চার্ট
মানদণ্ড
জিজ্ঞাসা করার জন্য প্রশ্ন
কেন এটা গুরুত্বপূর্ণ?
কারেন্টনেস
এটি কখন প্রকাশিত হয়েছিল? এটা এখনও বৈধ?
আইওসিগুলি দ্রুত অপ্রচলিত হয়ে যায়
উত্স নির্ভরযোগ্যতা
কে প্রকাশ করেছে, এর সুনাম কী?
প্রচুর মিথ্যা/বানোয়াট বুদ্ধি
প্রাসঙ্গিকতা
এটা কি আমাদের/আমাদের শিল্পকে লক্ষ্য করে?
প্রতিটি হুমকি আপনার হুমকি নয়
যাচাইযোগ্যতা
একটি দ্বিতীয় উৎস কি এটি নিশ্চিত করে?
একটি উৎস যথেষ্ট নয়
কর্মক্ষমতা
আমি কি করতে পারি (ব্লক, ট্র্যাক, কল)
জ্ঞানকে কাজে পরিণত করতে হবে
উদ্ধৃতি নির্ভুলতা
গ্রুপ অ্যাট্রিবিউশন কতটা কঠিন?
ভুল বণ্টন বিভ্রান্ত করে
তিনটি মিনি কেস
কেস 1 - 40-পৃষ্ঠার রিপোর্ট থেকে অ্যাকশন পর্যন্ত। একজন বিশ্লেষকের কাছে এআই একটি নতুন র্যানসমওয়্যার প্রচারাভিযানের 40-পৃষ্ঠার হুমকি প্রতিবেদনের সংক্ষিপ্তসার রয়েছে। AI রিপোর্টটিকে 1 পৃষ্ঠায় কমিয়ে দেয়, 32টি IOC (IP, হ্যাশ, ডোমেইন) এবং 7 MITER ATT&CK কৌশল বের করে এবং নোট করে "এই গ্রুপটি আপনার শিল্পকে লক্ষ্য করে।" বিশ্লেষক প্রতিটি আইওসিকে একটি দ্বিতীয় উৎসের মাধ্যমে যাচাই করেন, 21টি যোগ করেন যেগুলি এখনও বৈধ রয়েছে, কৌশলগুলির ATT&CK নম্বরগুলি নিশ্চিত করে, এবং এটিকে একটি হুমকি শিকার হাইপোথিসিসে বিকাশ করে। AI 40 পৃষ্ঠাগুলিকে প্রক্রিয়াযোগ্য করে তুলেছে; যাচাই এবং কর্ম বিশ্লেষক এর ছিল.
কেস 2 — তৈরি করা APT গ্রুপ। একজন বিশ্লেষক এআইকে জিজ্ঞাসা করেছিলেন "কোন গোষ্ঠী এই হামলা চালিয়েছে?" সে জিজ্ঞেস করে এআই আত্মবিশ্বাসের সাথে উত্তর দেয়: "এটি 'এপিটি-ডার্ক ঈগল' গ্রুপের পরিচিত কৌশল।" বিশ্লেষক পরিচিত হুমকি গোয়েন্দা সূত্রে এই গ্রুপের সন্ধান করছেন — এমন কোনও গ্রুপ নেই, মডেলটি নামটি তৈরি করেছে। তিনি যদি এটি নিশ্চিত না করতেন, তাহলে প্রতিবেদনটি একটি ভুল অ্যাট্রিবিউশন দিয়ে বেরিয়ে যেত। পাঠ: গ্রুপ অ্যাট্রিবিউশন হল সবচেয়ে সহজ এবং ঝুঁকিপূর্ণ দাবি করা; এটি সর্বদা একটি পরিচিত উত্স দ্বারা যাচাই করা হয় এবং প্রায়শই "সঠিক অ্যাট্রিবিউশন" এর পরিবর্তে "নিম্নলিখিত কৌশলগুলির সাথে সামঞ্জস্যপূর্ণ" হিসাবে উল্লেখ করা হয়।
কেস 3 - পুরানো IOC এর সাথে মিথ্যা ব্লক করা। একটি দল এআইকে জিজ্ঞাসা করেছিল যে মাস আগে একটি প্রতিবেদন থেকে প্রাপ্ত আইপিগুলির একটি তালিকা "আমাদের কি ব্লক করা উচিত নয়"? তিনি জিজ্ঞাসা করেন; এআই বলে "হ্যাঁ, তারা দূষিত।" কিন্তু বিশ্লেষক দেখেন যে আইপিগুলির মধ্যে একটি এখন একটি বৈধ ক্লাউড প্রদানকারীর (CDN); সেই আইপি ব্লক করলে প্রতিষ্ঠানটি যে বৈধ পরিষেবাগুলি অ্যাক্সেস করে তাও বন্ধ করে দেবে৷ আইওসি স্বল্পস্থায়ী। বিশ্লেষক বর্তমানতা যাচাই করে এবং পুরানোগুলিকে সরিয়ে দেয়। পাঠ: IOC এর বর্তমানতা যাচাই না করা পর্যন্ত এটি ব্লকলিস্টে যাবে না।
দুর্বল প্রম্পট / শক্তিশালী প্রম্পট
দুর্বল প্রম্পট:
কে এই আক্রমণ করেছে এবং আমি কোন আইপি ব্লক করব? [প্রতিবেদন]
এই অনুরোধটি এআই থেকে সুনির্দিষ্ট অ্যাট্রিবিউশন এবং সরাসরি ব্লক করার সিদ্ধান্তের জন্য জিজ্ঞাসা করে, এটি সময়োপযোগীতা এবং যাচাইকরণের জন্য জিজ্ঞাসা করে না, এটি বানোয়াট করার জন্য উন্মুক্ত। AI একটি বিশ্বাসযোগ্য কিন্তু ভুল অ্যাট্রিবিউশন এবং সেকেলে IOC তালিকা দিতে পারে।
শক্তিশালী প্রম্পট:
আপনার ভূমিকা: বিশ্লেষকের সহকারী হুমকির বুদ্ধিমত্তার সারাংশ এবং কনফিগারেশন প্রস্তুত করছেন। সিদ্ধান্ত গ্রহণ; "ব্লক" বলবেন না, নির্দিষ্ট গ্রুপ রেফারেন্স করবেন না। নিম্নলিখিত প্রতিবেদনটি প্রক্রিয়া করুন:(1) 1-পৃষ্ঠার সারাংশ (কে, কী, লক্ষ্য, পদ্ধতি), (2) IOCগুলির কাঠামোগত তালিকা (আইপি, ডোমেইন, হ্যাশ, ইউআরএল); প্রতিটির জন্য "[কারেন্ট এবং সেকেন্ডারি সোর্স অবশ্যই যাচাই করতে হবে]" চিহ্নিত করুন; ডামি আইওসি যোগ করুন,(৩) MITER ATT&CK-তে TTPs ম্যাপ করুন কিন্তু প্রতিটি টি-নম্বর চিহ্নিত করুন "[ATT&CK-এ নিশ্চিত করুন]", (4) অ্যাট্রিবিউশনের জন্য "সঠিক গোষ্ঠী" বলবেন না; "এই কৌশলগুলির সাথে সামঞ্জস্যপূর্ণ" ভাষা ব্যবহার করুন এবং প্রমাণের শক্তি বলুন, (5) কেন এই বুদ্ধি আমাদের শিল্প/স্থাপত্যে প্রযোজ্য হতে পারে সে সম্পর্কে প্রশ্ন লিখুন। প্রতিবেদন: [পেস্ট]
দৃঢ় দাবি সারাংশ + কাঠামোর জন্য জিজ্ঞাসা করে, প্রতিটি IOC/TTP যাচাইকরণের জন্য ছেড়ে দেয়, সুনির্দিষ্ট অ্যাট্রিবিউশন, প্রশ্ন প্রাসঙ্গিকতা নিষিদ্ধ করে।
অনুলিপিযোগ্য প্রম্পট টেমপ্লেট
প্রতিবেদনের সংক্ষিপ্তসার টেমপ্লেটগুলি 3 স্তরে নিম্নলিখিত হুমকি প্রতিবেদনের সংক্ষিপ্তসার করুন: (1) কৌশলগত (কে, কেন, লক্ষ্য সেক্টর), (2) কৌশলগত (টিটিপি ব্যবহার করা হয়েছে), (3) প্রযুক্তিগত (আইওসিগুলির প্রকারগুলি)। 1 পৃষ্ঠার বেশি করবেন না। আপনি প্রতিবেদন থেকে সরাননি এমন কোনো দাবি অন্তর্ভুক্ত করবেন না; বানোয়াট. প্রতিবেদন: [পেস্ট]
IOC এক্সট্রাকশন টেমপ্লেট নিম্নলিখিত পাঠ্য থেকে কাঠামোগত IOC গুলি বের করে: টাইপ (IP/domain/hash/URL/email), মান, প্রসঙ্গ। টেক্সটে স্পষ্টভাবে যা বলা হয়েছে কেবল তা গ্রহণ করুন; ফিটিং প্রতিটি IOC-এর জন্য "[বর্তমান + গৌণ উৎস যাচাই করা আবশ্যক]" চেক করুন। সারণী আকারে যাচাই করুন। পাঠ্য: [পেস্ট]
ATT&CK ম্যাচিং টেমপ্লেট MITER ATT&CK কৌশল এবং কৌশলগুলিতে আক্রমণের বর্ণনায় আচরণগুলি ম্যাপ করুন। প্রতিটি ম্যাপিংয়ের জন্য: আচরণের উদ্ধৃতি + প্রস্তাবিত প্রযুক্তির নাম +"[টি-নম্বরটি ATT&CK-এ নিশ্চিত করতে হবে]"। একটি তৈরি কৌশল/সংখ্যা দেবেন না; আপনি যদি নিশ্চিত না হন তবে "[অস্পষ্ট]" লিখুন। বর্ণনা: [পেস্ট]
প্রাসঙ্গিকতা মূল্যায়ন টেমপ্লেট নিম্নলিখিত হুমকি বুদ্ধিমত্তা আমাদের প্রতিষ্ঠানের জন্য প্রযোজ্য কিনা তা মূল্যায়ন করতে আমাকে সাহায্য করুন: আমাদের কোন সম্পদ লক্ষ্য প্রযুক্তি/শিল্পের সাথে মেলে তা প্রশ্ন তৈরি করুন। সিদ্ধান্ত গ্রহণ; আমাকে একটি চেকলিস্ট দিন. বুদ্ধিমত্তার সারাংশ: [পেস্ট]
সাধারণ ভুল
- সুনির্দিষ্ট গ্রুপ অ্যাট্রিবিউশন করা। অ্যাট্রিবিউশন হল সবচেয়ে কঠিন এবং সবচেয়ে ভুল বোঝার ক্ষেত্র; "ঠিক সেই গোষ্ঠী" এর পরিবর্তে "এই কৌশলগুলির সাথে সামঞ্জস্যপূর্ণ" বলুন এবং উত্সের সাথে নিশ্চিত করুন৷
- মুদ্রা যাচাই না করেই আইওসিকে ব্লক করা। আইওসি স্বল্পস্থায়ী; একটি পুরানো আইপি এখন একটি বৈধ পরিষেবার অন্তর্গত হতে পারে, প্রথমে তাজাতা পরীক্ষা করুন।
- একটি একক উত্স বিশ্বাস. একটি দ্বিতীয় স্বাধীন উৎস দিয়ে বুদ্ধিমত্তা নিশ্চিত করুন; অনেক মিথ্যা/বানোয়াট বুদ্ধি আছে।
- প্রাসঙ্গিকতা প্রশ্নবিদ্ধ না. প্রতিটি হুমকি আপনার হুমকি নয়; শিল্প, প্রযুক্তি এবং স্থাপত্য ওভারল্যাপ দেখুন।
- আইওসি/টেকনিক/গ্রুপ তৈরি করা এই ভেবে যে এটি সত্য। এআই তাদের সাবলীলভাবে মানিয়ে নিতে পারে; পরিচিত উৎস এবং MITER ATT&CK প্রতিটি যাচাই করুন।
টিপ: হুমকি বুদ্ধিমত্তার সবচেয়ে স্থায়ী এবং মূল্যবান স্তর হল TTP, IOC নয়। আক্রমণকারী একদিনে তার আইপি পরিবর্তন করে, কিন্তু তার আচরণের ধরণ (টিটিপি) পরিবর্তন করা কঠিন। টিটিপি সনাক্তকরণে আপনার প্রতিরক্ষা তৈরি করুন, আইওসি ব্লকিং নয়।
সতর্কতা: ব্লকলিস্টে একটি IOC রাখলে বৈধ ট্রাফিকও বাধা হতে পারে (ফলস ইতিবাচক ব্লকিং)। একটি গোষ্ঠীর দিকে ভুলভাবে আঙুল তুলে ভুল পথে সম্পদ নষ্ট করে। বুদ্ধিমত্তা একটি ইনপুট; ব্লকিং এবং অ্যাট্রিবিউশন সিদ্ধান্ত যাচাইয়ের পরে বিশ্লেষকের উপর নির্ভর করে।
সংক্ষেপে
হুমকির বুদ্ধিমত্তা সংগঠনটিকে একা নয় বরং বিশ্বের অভিজ্ঞতার সাথে লড়াই করতে সক্ষম করে; কিন্তু কারণ এটি অসংখ্য, অগোছালো এবং পরিবর্তনশীল তাই এর ব্যাখ্যা প্রয়োজন। AI তিনটি স্তরে (কৌশলগত, কৌশলগত, প্রযুক্তিগত) দীর্ঘ প্রতিবেদনগুলিকে সংক্ষিপ্ত করে, IOC এবং TTP বের করে, MITER ATT&CK-এর মানচিত্র এবং প্রাসঙ্গিক রূপরেখা প্রদান করে। সবচেয়ে বড় ঝুঁকি: তৈরি IOC/টেকনিক/গ্রুপ, সঠিক কিন্তু মিথ্যা অ্যাট্রিবিউশন, এবং অপ্রচলিত IOC। এই কারণেই প্রতিটি IOC বর্তমানতা এবং দ্বিতীয় উৎসের সাথে যাচাই করা হয়, প্রতিটি কৌশল ATT&CK; রেফারেন্সটি "কৌশলের সাথে সামঞ্জস্যপূর্ণ" ভাষায় তৈরি করা হয়েছে এবং "নির্ধারিত গোষ্ঠী" নয়; এবং ব্লক/প্রয়োগ করার সিদ্ধান্ত বিশ্লেষকের। প্রতিরক্ষার মূল হল স্থায়ী টিটিপি সনাক্তকরণ, স্বল্পস্থায়ী আইওসি নয়।
আবেদন টাস্ক
একটি পাবলিক নমুনা হুমকি রিপোর্ট পান. "রিপোর্ট সংক্ষিপ্তকরণ" এবং "আইওসি নিষ্কাশন" টেমপ্লেট সহ AI থেকে IOC-এর একটি সারাংশ এবং কাঠামোবদ্ধ তালিকা বের করুন। একটি পরিচিত উৎসে IOC-এর মধ্যে 5টির মুদ্রা এবং সত্যতা পরীক্ষা করুন; অন্তত একটি পুরানো বা সন্দেহজনক আইওসি খুঁজে বের করার চেষ্টা করুন। MITER ATT&CK সাইটে "ATT&CK ম্যাচিং" টেমপ্লেট সহ প্রকাশিত কৌশলগুলির টি-সংখ্যা যাচাই করুন এবং যদি থাকে একটি জাল/মিথ্যা নম্বর ধরুন।
চেকলিস্ট
- [ ] আমি প্রতিবেদনটি তিনটি স্তরে সংক্ষিপ্ত করেছি (কৌশলগত, কৌশলগত, প্রযুক্তিগত)।
- [ ] আমি প্রতিটি আইওসিকে মুদ্রা এবং একটি দ্বিতীয় স্বাধীন উৎস দিয়ে যাচাই করেছি।
- [ ] আমি অফিসিয়াল সোর্সে প্রতিটি MITER ATT&CK কৌশল/কৌশল যাচাই করেছি।
- [ ] আমি "সঠিক" এর পরিবর্তে "কৌশলের সাথে সামঞ্জস্যপূর্ণ" ভাষায় গোষ্ঠীর রেফারেন্সটিকে সম্বোধন করেছি।
- [ ] আমি আমার প্রতিষ্ঠানের (সেক্টর, প্রযুক্তি, স্থাপত্য) জন্য বুদ্ধিমত্তার প্রাসঙ্গিকতা নিয়ে প্রশ্ন তুলেছি।
- [ ] আমি প্রতিটি দাবির সত্যতা যাচাই করেছি, জেনেছি এটি IOC/টেকনিক/গ্রুপ দ্বারা গঠিত হতে পারে।
- [ ] আমি যাচাই করার পরে বিশ্লেষক হিসাবে ব্লক এবং বাস্তবায়ন করার সিদ্ধান্ত নিয়েছি।