End-to-End SOC radni tok, automatizacija (SOAR), upravljanje kvalitetom i samo-revizija — Umjetna inteligencija u sajber sigurnosti

Dobici:

Sposobnost dizajniranja end-to-end SOC toka rada koji se sastoji od prikupljanja, otkrivanja, trijaže, istrage, intervencije, poboljšanja, izvještavanja i povratnih informacija, navodeći lokaciju umjetne inteligencije i ljudskih kapija
Sposobnost odvajanja automatizacije prema nivou rizika (niskorizični/reverzibilni koraci su automatski, visokorizični/nepovratni koraci su pod kontrolom ljudi) i dizajniranje putanje povratka za svaku automatsku akciju.
Sposobnost uspostavljanja samonadgledanja i petlje povratnih informacija koja redovno mjeri lažno pozitivnu/negativnu stopu, MTTD/MTTR, tačnost izlaza i pomjeranje modela

Ova završna jedinica kombinuje delove koje smo naučili odvojeno kroz modul – analizu dnevnika, traženje pretnji, upravljanje ranjivostima, odgovor na incidente, phishing, pregled koda, obaveštajne podatke, izveštavanje – u jedan tok posla od kraja do kraja. U pravom sigurnosnom operativnom centru (SOC), ovi koraci nisu isključeni; Alarm pokreće istragu, koja pokreće odgovor, koji pokreće izvještaj, koji pokreće sanaciju. Umjetna inteligencija je uključena u svaku kariku ovog lanca, ali čovjek je taj koji drži lanac i donosi odluke na svim kritičnim vratima.

Osim toga, ova jedinica pokriva dvije kritične teme. Prvi je automatizacija: kada se SOAR (sigurnosna orkestracija, automatizacija i odgovor — platforma koja automatizuje i organizuje bezbednosne procese) i AI kombinuju, povećavaju se i snaga i rizik; Neophodno je razlikovati ono što se može automatizirati i ono što se nikada ne može ukloniti iz ljudskog odobrenja. Drugo, upravljanje kvalitetom i samoregulacija: Sigurnosna operacija omogućena umjetnom inteligencijom nije postavljena i napuštena jednom; stalno se prati, mjeri, vraća i ispravlja. Automatizacija povećava brzinu, ali ne eliminira odgovornost; Sigurnosni program ostaje bezbjedan samo redovnim samonadzorom.

End-to-end SOC radni tok

Hajde da vidimo gde AI ulazi u igru i ko je odobrava u tipičnom životnom ciklusu incidenta:

Prikupljanje i praćenje: Dnevni tok u SIEM; AI smanjuje buku, rezimira. (Automatski, nizak rizik.)
Detekcija i alarm: pravilo + anomalija + detekcija AI uzorka. (Automatska proizvodnja; trijaža je kod ljudi.)
Trijaža: Da li je alarm stvaran ili lažno pozitivan? AI predlaže obrazloženje i prioritet; analitičar potvrđuje. (Ljudska vrata.)
Istraga: AI prikuplja dokaze, utvrđuje vremenski okvir, navodi osnovni uzrok; analitičar potvrđuje sirovim dokazima. (Ljudska vrata.)
Intervencija: Izolacija, zaključavanje, čišćenje. AI pruža izbor/uticaj; Odluka je u rukama ovlaštenog analitičara. (Kritična ljudska kapija.)
Remedijacija: Zatvaranje ranjivosti, eliminacija osnovnog uzroka. Nacrt AI plana; odobrenje u upravljanju promjenama. (Čovjek + proces.)
Izvještavanje: AI piše nacrte, prilagođava se publici; Vještak ovjerava i potpisuje dokaze. (Ljudska vrata.)
Učenje lekcija i povratne informacije: AI izdvaja obrasce; Ažurira pravila i priručnike za otkrivanje tima. (Čovjek + proces.)

Pravilo ovog lanca: niskorizični, ponavljajući, reverzibilni koraci mogu se automatizirati; Visokorizični, nepovratni koraci koji zahtijevaju prosuđivanje prolaze kroz ljudska vrata.

Tabela odluka o automatizaciji

korak

Može li se automatizirati

stanje

ljudsko odobrenje

Sakupljanje dnevnika, normalizacija

Da, tačno

—

nije potrebno

Obogaćivanje alarma (IOC pretraga)

Izvor je pouzdan

Pregledava se

Lažno pozitivna eliminacija (poznato dobro)

djelomično

strogo pravilo

Pregledano uzorkovanjem

phishing email u karantinu

djelomično

visoka preciznost

Pregled + putanja povratka

Automatsko zaključavanje naloga

oprezno

Samo jasni kriterijumi

Brza ljudska verifikacija

Izolirajte server

Generalno ne

Osim kritične infrastrukture

Iznuđena ljudska odluka

Krpanje (proizvodnja)

—

Testiranje + upravljanje promjenama

Službeni izvještaj/obavještenje

—

Stručnjak + zakon

Upravljanje kvalitetom i samorevizija

Sigurnosna operacija pokretana umjetnom inteligencijom je živi sistem; njegove performanse se mijenjaju tokom vremena (novi napadi, promjena okruženja, ažuriranja modela). Potrebno je redovno mjerenje kako bi se osiguralo:

Stopa lažno pozitivnih i lažno negativnih: Koliko često AI uzalud podiže alarme, koliko često promašuje pravu prijetnju? Lažni negativi se posebno prate jer tiho nanose štetu.
MTTD/MTTR: Da li se prosječno vrijeme otkrivanja i odziva poboljšava?
Preciznost AI izlaza: Uzorkovanjem, koliko rezimea/nalaza/citata AI prolazi validaciju?
Sigurnost automatizacije: Da li automatske radnje rade kako se očekuje, ima li lažnih okidača, funkcioniraju li vraćanja?
Petlja povratnih informacija: Da li stvarni pronađeni događaji postaju nova pravila detekcije, a podignuti alarmi liste izuzetaka?

Uslovi: MTTD (srednje vrijeme za otkrivanje). Petlja povratne informacije je kada operacija uči iz vlastitih rezultata i ažurira svoja pravila. Odstupanje modela je kada AI zastari i performanse se smanjuju kako se okruženje mijenja. Samorevizija je redovan, kritički pregled vlastitih procesa tima.

tri mini kofera

Slučaj 1 — Ispravna automatizacija. SOC automatizira korak „automatskog obogaćivanja i određivanja prioriteta upozorenja koja odgovaraju poznatim zlonamjernim IOC-ovima i koja su u kategoriji niskog rizika“; ali uvijek ostavlja korak "izolacije servera" za ljudsko odobrenje. Rezultat: analitičari su oslobođeni 400 rutinskih alarma dnevno, oslobađajući vrijeme za stvarne istrage, ostavljajući kritične odluke ljudima. Desni dio lanca je automatski, pravo mjesto je čovjek.

Slučaj 2 — Automatizacija ima negativne posljedice. Drugi SOC definiše pravilo "automatsko zaključavanje računa pri sumnjivoj prijavi" vrlo široko. Jednog dana, zbog greške u konfiguraciji, pravilo blokira 1.200 legitimnih korisnika odjednom i rad prestaje; Štaviše, put oporavka nije definiran. Pouka: automatizacija visokog uticaja mora imati stroge kriterijume, postepeno primenu i putanju vraćanja. Automatizacija bi trebala biti reverzibilna i nadgledana kroz samoregulaciju.

Slučaj 3 — Klizanje uhvaćeno samokontrolom. U tromjesečnoj samoreviziji, tim primjećuje da se preciznost detekcije phishinga AI smanjuje: novi val phishinga je propušten jer se ne uklapa u stare obrasce (pomjeranje uzorka). Tim prikuplja uzorke, ažurira pravila detekcije i osvježava kontekst dat AI. Bez redovne samokontrole, ovo tiho izbjegavanje moglo bi se nastaviti mjesecima. Pouka: samo zato što je učinak jednom dobar, ne ostaje uvijek dobar; mjerenje i povratne informacije su od suštinskog značaja.

Slaba prompt / Jaka prompt

Slab upit:

Potpuno automatizirajte naš SOC i pustite AI da upravlja svime.

Ovaj zahtjev zahtijeva automatizaciju bez diskriminacije rizika, ignorira ljudska vrata i ne razmatra vraćanje i kontrolu. Ako se provedu, visokorizične odluke će se automatizirati bez nadzora i pretvoriti se u katastrofu pri prvoj grešci.

Snažan upit:

Vaša uloga: Konsultant u dizajnu SOC procesa. [Navedite] ove korake životnog ciklusa događaja u tri na osnovu nivoa rizika: (A) potpuno automatizovan (nizak rizik, reverzibilan, ponavljajući), (B) AI preporučuje + ljudska odobrava, (C) uvek ljudska odluka (visok rizik, nepovratna). Predložite obaveznu putanju vraćanja i metriku praćenja za svaki (A) i (B). Takođe izradite tromjesečnu kontrolnu listu za samo-reviziju: lažno pozitivna/negativna stopa, MTTD/MTTR, uzorkovanje tačnosti izlaza AI, znakovi odstupanja šablona.

Jaka potražnja razdvaja automatizaciju prema nivou rizika, zahtijeva vraćanje unatrag i praćenje, te uspostavlja okvir za samoregulaciju.

Predlošci upita koji se mogu kopirati

PREDLOZAK ZA RASPODJELJAVANJE RIZIKA AUTOMATIZACIJE Odvojite ove korake sigurnosnog toka rada u tri: (A) potpuno automatiziran odgovarajući, (B) preporučuje ljudska odobrenja, (C) uvijek ljudska odluka. Napišite obrazloženje, reverzibilnost i poslovni uticaj za svaki korak. Preporučite obaveznu putanju vraćanja unatrag za korake sa velikim uticajem. Koraci: [list]

PREDLOŽAK DIZAJNA ZA POVRATAK za automatsko djelovanje [npr. zaključavanje računa] predlaže siguran dizajn: kriteriji okidanja (uski), postupna primjena, korak vraćanja lažnog okidača, upozorenje i ljudska verifikaciona točka. Dizajnirajte tako da izbjegnete slijepu automatizaciju. Akcija: [pisati]

PREDLOZAK KONTROLNE LISTE SAMOREVIZIJE Napraviti tromjesečnu kontrolnu listu za samokontrolu za SOC koji pokreće AI: lažno pozitivna/negativna stopa, MTTD/MTTR pristranost, uzorkovanje tačnosti AI izlaza, lažni okidači automatizacije, znaci pomaka uzorka, rad petlje povratne sprege, usklađenost/monijatnost. Za svaku stavku napišite kako će se mjeriti.

PREDLOŽAK PETLJE POVRATNIH INFORMACIJA Nacrtajte ono što je naučeno iz stvarnog događaja/alarma koji ne uspije: (1) obrazac koji će postati novo pravilo detekcije, (2) lažno pozitivan rezultat koji će biti dodan na listu izuzetaka, (3) korak iz priručnika koji će biti ažuriran, (4) novi kontekst koji će biti dat AI. Sažetak događaja/alarma: [zalijepi]

Uobičajene greške

Automatizacija koraka visokog rizika. Nepovratni koraci kao što su izolacija servera, zakrpe proizvodnje, službeno obavještenje ne uklanjaju se s ljudskih vrata.
Ne osmišljavanje puta za pronalaženje. Moguće je da se bilo koja automatska radnja pokrene pogrešno; Automatizacija bez tačke poništavanja i potvrde je opasna.
Postavite i zaboravite. AI performanse se mijenjaju kako se okruženje mijenja; Bez redovnog samokontrole i merenja, tihe evazije se akumuliraju.
Samo pratim lažno pozitivan. Lažno negativna (prava prijetnja koja je propuštena) je opasnija, ali teže uočljiva; Gledajte privatno.
Zanemarivanje povratnih informacija. Ako se otkriveni događaji ne pretvore u novo pravilo i neuspjeli alarmi se ne pretvore u izuzetak, operacija se ne uči i ponavlja istu grešku.

Savjet: Zlatno pitanje u odluci o automatizaciji: „Može li se ova radnja poništiti ako se pokrene na pogrešan način i kakav je utjecaj na poslovanje?“ Ako je odgovor „lako poništiti, mali uticaj“, automatizujte; Ako je "nepovratan ili jak udar", držite na vratima ljudi.

Oprez: Automatizacija ne eliminiše odgovornost, već je samo ubrzava. Loše osmišljena automatska akcija uzrokuje štetu mnogo brže i šire nego što bi to čovjek mogao. Svaka automatizacija je okružena uskim kriterijima, putanjom povratka i redovnim pregledima; Konačna odgovornost uvijek leži na ljudskom biću.

Ukratko

Ova jedinica je spojila sve dijelove modula u SOC radni tok od kraja do kraja: prikupljanje, otkrivanje, trijaža, istraga, odgovor, sanacija, izvještavanje i povratne informacije. AI je uključen u svaku kariku, ali čovjek je taj koji drži lanac i donosi odluke na svim kritičnim vratima. Automatizacija (SOAR + AI) povećava snagu; Pravilo je jasno: niskorizični, reverzibilni koraci koji se ponavljaju postaju automatizovani, visokorizični, nepovratni koraci prolaze kroz ljudska vrata, a svaka automatizacija ima način da poništi. Konačno, sigurnosni program koji pokreće AI je aktivan: lažni pozitivni/negativni, MTTD/MTTR, tačnost izlaza i pomjeranje šablona se redovno mjere; Ono što se nađe pretvara se u pravila i priručnike u povratnoj petlji. Automatizacija ubrzava odgovornost, a ne je uklanja; Samokontrola održava sigurnost živom.

Zadatak aplikacije

Napišite životni ciklus incidenta svoje organizacije (ili uzorka SOC-a). Klasificirajte svaki korak kao A/B/C pomoću predloška „Razdvajanje rizika automatizacije“ i izvedite siguran dizajn automatizacije pomoću predloška „Rollback Design“ za najmanje jedan korak sa „jakim uticajem“. Zatim kreirajte tromjesečnu kontrolnu listu s predloškom „Kontrolna lista za samokontrolu“ i odredite kako ćete mjeriti svaku metriku u svom okruženju.

kontrolna lista

[ ] Podijelio sam svaki korak životnog ciklusa incidenta u A/B/C klasu rizika.
[ ] Držao sam visokorizične, nepovratne korake pred ljudskim vratima.
[ ] Dizajnirao sam uske kriterijume i putanju poništavanja za svaku automatsku akciju.
[ ] Planirao sam pratiti stopu lažno pozitivnih, a posebno lažno negativnih.
[ ] Planirao sam da redovno merim MTTD/MTTR i tačnost AI izlaza.
[ ] Uspostavio sam tromjesečnu kontrolnu listu za samokontrolu za pomjeranje šablona.
[ ] Povezao sam pronađene događaje i izbačene alarme u povratnu petlju.

Modul Exam

1. SIEM trijažna AI označila je alarm kao 'nizak prioritet, vjerovatno lažno pozitivan' i gurnula ga na dno liste. Šta bi analitičar trebao učiniti u vezi sa ovim alarmom?

A) I dalje nezavisno proverava alarm i verifikuje ga sirovim dokazima; Analitičar donosi odluku o zatvaranju i bilježi je ✔
B) Umjetna inteligencija automatski isključuje alarm bez ispitivanja jer kaže da je nizak prioritet.
C) Prebacuje alarm u sljedeću smjenu kakav jeste.
D) Samo pogledajte sažetak koji je dala umjetna inteligencija i proslijedite izvještaj

Objašnjenje: AI prioritet je preporuka, a ne dijagnoza; Oznaka 'niskog prioriteta' može pokriti pravi napad (lažno negativan). Analitičar i dalje mora samostalno provjeriti upozorenje, provjeriti ga sirovim dokazima i sam donijeti odluku da ga zatvori. Negativan AI izlaz nije garancija 'bez prijetnje'.

2. Koju kombinaciju rizika AI označava pravi napad kao 'normalan' i da analitičar vjeruje u to i opušta vlastitu analizu?

A) Lažno pozitivno i samo alarmni umor
B) Lažno negativno i automatizacija (preveliko oslanjanje na AI) ✔
C) Nedostatak samo izvora dnevnika
D) Samo greška SIEM pravila

Objašnjenje: Lažno negativan je ako model promaši stvarnu prijetnju; Pristrasnost automatizacije je kada analitičar previše vjeruje umjetnoj inteligenciji i odustaje od nezavisnog pregleda. Kada se to dvoje spoje, raison d'être ljudske kontrole nestaje i napad se može u potpunosti zaobići. Zato se ispituju i područja koja umjetna inteligencija naziva 'čistima'.

3. AI je rekao 'CVE-2024-88888, CVSS 9.8, zakrpa odmah' tokom trijaže. Šta bi analitičar prvo trebao učiniti?

A) Smatra da je CVE pouzdan i odmah pokreće plan zakrpe
B) Samo zato što je CVSS 9.8, stavlja ga na prvo mjesto bez gledanja na bilo koje druge ranjivosti
C) Provjerava CVE broj i rezultat u evidenciji NVD/dobavljača; ✔ Ako nema zapisa, neće biti naveden znajući da je možda lažan.
D) Bez verifikacije CVE-a, administrator ga upisuje u izveštaj kao 'kritičnu pretnju'

Opis: Jezički modeli mogu tečno uklopiti nepostojeći CVE broj i rezultat (halucinirati). Analitičar mora provjeriti CVE u NVD/dnevniku dobavljača i potvrditi njegovu autentičnost i rezultat prije nego što se posveti rasporedu zakrpa. Neprovjereni CVE se prvo povezuje na resurs; U suprotnom, tim će gubiti vrijeme tražeći zakrpu koja ne postoji.

4. Da bi ubrzao istragu incidenta, stručnjak zalijepi neobrađenu evidenciju zaštitnog zida zajedno sa stvarnim internim IP adresama, korisničkim imenima i imenima VPN servera u javno dostupan AI alat. Šta je ovde glavni problem?

A) AI ne može pročitati format dnevnika, tako da je analiza beskorisna
B) Ako je dnevnik predugačak, to usporava model.
C) Zapisi zaštitnog zida ionako nisu prikladni za analizu
D) Pravi IP, imena korisnika i servera se dijele bez anonimizacije; Ovo je i kršenje KVKK-a i curenje mrežne mape organizacije ✔

Opis: Sigurnosni podaci su i lični podaci (korisnik, IP) i korporativna inteligencija koja otkriva površinu napada organizacije (topologija mreže, imena servera). Davanje ovog vanjskom alatu bez anonimizacije predstavlja kršenje KVKK-a i otkriva mrežnu mapu koja će biti korisna napadaču. Prvo, stvarne vrijednosti su maskirane konzistentnim čuvarima mjesta.

5. Zbog čega se lov na prijetnje smatra dobro osmišljenim?

A) Počinje s konkretnom hipotezom koja se može provjeriti, a pronađeni trag je potvrđen sirovim dokazima ✔
B) Počinje tako što se umjetnoj inteligenciji kaže 'pronađi postoji li napadač u mojoj mreži'
C) Automatski proglašava svaki abnormalni/rijetki događaj koji se nađe kao napad
D) Radi samo kada dođe alarm, nije proaktivan

Objašnjenje: Dobar lov na prijetnje ne počinje s alarmom, već s konkretnom hipotezom koja se može provjeriti koja se može, ali i ne mora pokazati istinitom (npr. 'Da li se račun X povezao na više od 50 internih IP-ova tijekom neradnog vremena'). Nejasno pitanje poput 'Ima li nešto loše na mojoj mreži' ne može se testirati i ostavlja AI da nagađa. Pronađeni trag se ne smatra prijetnjom dok se ne provjeri sirovim dokazima.

6. Ranjivost ima CVSS rezultat 9,1 na izolovanom test serveru na internoj mreži; Na istoj listi, CVSS 7.5 na serveru otvorenom za internet, ali postoji još jedna ranjivost na KEV listi (koja je zapravo iskorišćena). Šta je ispravno određivanje prioriteta?

A) Onaj sa najvećim CVSS-om (9.1) se uvijek zakrpi prvi
B) Ranjivost 7.5 na Internet i KEV listi se prenosi; CVSS nije jedini kriterijum, izloženost i stvarno zlostavljanje su odlučujući ✔
C) Oba su zakrpljena u isto vrijeme i sa istim prioritetom, razlika je nepotrebna
D) Nijedan od njih nije zakrpljen jer postoji ranjivost na test serveru

Objašnjenje: CVSS ne postavlja sam prioritete; stvarni rizik određuju EPSS (vjerovatnoća eksploatacije), KEV (stvarna eksploatacija) i organizacijski kontekst (izloženost, kritičnost, kompenzacijska kontrola). Ranjivost izložena i stvarno eksploatisana na Internetu (KEV) sprečava izolovanu ranjivost sa visokom CVSS sa malom verovatnoćom.

7. U odgovoru na incident, umjetna inteligencija kaže 'Saobraćaj koji potiče sa IC_HOST_7 je sumnjiv, izolirajte ovaj server'. IC_HOST_7 je glavni autentifikacijski server institucije. Šta bi analitičar trebao učiniti?

A) Vještačka inteligencija odmah izoluje server jer tako kaže
B) Odluku o izolaciji u potpunosti prepušta vještačkoj inteligenciji
C) Prvo procijenite poslovni uticaj i uzrok saobraćaja; Ne izoluje kritičnu infrastrukturu bez mjerenja njenog uticaja i donosi odluku kao analitičar ✔
D) Izolira server i zatim briše sve zapise

Opis: Izolacija je kritična odluka koju je teško poništiti i može dovesti do prekida poslovanja; ne može se preneti na veštačku inteligenciju. Izolacija servera za autentifikaciju može spriječiti sve zaposlenike da se prijave. Analitičar prvo mora procijeniti poslovni uticaj i uzrok saobraćaja (može biti legitimna transakcija), sam donijeti odluku; Prijedlog umjetne inteligencije ne bi trebao biti implementiran kao naredba.

8. U incidentu sa ransomware-om, tim želi ponovo izgraditi pogođenu mašinu kako bi je brzo očistio; ali postoje forenzički dokazi (skladište memorije, alati napadača) na mašini koji još nisu prikupljeni. Šta je pravi pristup?

A) Mašina se odmah ponovo instalira; dokazi su nebitni
B) Od umjetne inteligencije se traži 'najbrže čišćenje' i upute se primjenjuju naslijepo.
C) Mašina je isključena i bačena jer se dokaz već nalazi u dnevniku.
D) Prvo se uzimaju forenzička slika i memorija i dokazi se čuvaju, zatim se vrši čišćenje/oporavak ✔

Objašnjenje: Brzina oporavka ne može nadmašiti očuvanje dokaza. Ponovno instaliranje mašine bez prikupljanja dokaza uništava lanac nadzora i onemogućava sudski proces. Prvo se snimaju forenzička slika i dump memorije, a zatim se vrši čišćenje/oporavak. Forenzički koraci nisu delegirani AI.

9. Koji je jedan od najpouzdanijih slojeva tehničke provjere prilikom analize e-pošte za koju se sumnja da je phishing i kako bi se trebao potvrditi?

A) SPF/DKIM/DMARC rezultira zaglavljem e-pošte; Potvrđeno iz sirovog naslova, a ne iz sažetka AI ✔
B) Boja i font e-maila; odlučeno vizualnim dizajnom
C) Kliknite na sumnjivi link na sistemu uživo i pogledajte stranicu koja se otvara.
D) Sama umjetna inteligencija koja kaže 'phishing' je dovoljan dokaz

Objašnjenje: SPF/DKIM/DMARC rezultati u zaglavljima e-pošte su jaki pokazatelji da li e-pošta zaista dolazi sa domene na koju tvrdi; Ako sva tri ne uspiju i pošiljalac prevari domenu, sumnja postaje jača. Međutim, ovo treba potvrditi iz sirovog naslova, a ne iz sažetka AI. Osim toga, sumnjive veze se nikada ne kliknu na sistemu uživo.

10. U pregledu koda, AI je predložio ispravku za XSS ranjivost i rekao da 'to zatvara ranjivost'. Šta bi analitičar/programer trebao učiniti?

A) Smatra popravku pouzdanom i stavlja je direktno u proizvodnju
B) Pregleda ispravku, potvrđuje da zapravo zatvara ranjivost i ne uvodi nove ranjivosti/bugove i piše test; Tek tada se stavlja u skladište ✔
C) Pošto nije siguran, prepisuje cijeli fajl umjetnoj inteligenciji i koristi ga.
D) Primjenjuje popravku, ali prolazi bez pisanja ikakvih testova

Objašnjenje: Ispravka koju je predložila AI nije automatski sigurna; Možda neće u potpunosti zatvoriti ranjivost, može očistiti pogrešan sloj ili može uvesti novu ranjivost/funkcionalnu grešku. Svaka zakrpa se pregleda, procijeni da li zaista zatvara ranjivost i da li uvodi nove probleme, te se pišu pozitivni i negativni test slučajevi; Tek tada ulazi u skladište.

11. Prilikom analize napada, umjetna inteligencija je rekla 'ovo je definitivno djelo grupe APT-Dark Eagle'. Koji je pravi pristup u smislu obavještajnih podataka o prijetnjama?

A) Prihvatite referencu onakvu kakva jeste i upišite je u izvještaj kao 'definitivnog izvršioca'
B) On gradi čitavu svoju odbranu na osnovu te grupe, a da nikada ne dovodi u pitanje ime grupe.
C) Koristi jezik 'u skladu s tehnikama' umjesto preciznog pripisivanja, provjerava grupu u poznatim izvorima i uzima u obzir mogućnost izmišljotine ✔
D) Citiranje je uvijek nepotrebno, uopće se ne uzima u obzir

Objašnjenje: Grupna atribucija je najteža i najnetačnija oblast inteligencije; AI čak može napraviti ime benda koje ne postoji. Umjesto tačne reference, koristi se jezik 'kompatibilan sa ovim tehnikama', a naziv grupe je potvrđen u poznatim obavještajnim izvorima. Dodatno, odbrana se ne zasniva na kratkotrajnim MOK-ima, već na trajnoj TTP detekciji.

12. U nacrtu izvještaja o incidentu, AI je napisao rečenicu 'napadač je najvjerovatnije bio unutra tri sedmice i eksfiltrirao podatke o klijentima'; budući da nema uvjerljivih logističkih dokaza koji podržavaju ove tvrdnje. Šta bi analitičar trebao učiniti?

A) Ostavlja rečenicu onakvom kakva jeste jer je dramatična i impresivna
B) Napušta rečenicu, ali na kraju dodaje 'vještačka inteligencija napisala'
C) Ponovno štampa cijeli izvještaj umjetnoj inteligenciji i potpisuje ga bez verifikacije.
D) Ispravlja tvrdnje na osnovu dokaza; Pravi razliku između 'moguće/dokazano/pod istragom' i izvlači konačnu izjavu bez dokaza ✔

Komentar: U službenom sigurnosnom izvještaju, svaka tvrdnja treba biti potkrijepljena i 'vjerovatno' se nikada ne smije miješati sa 'dokazanom'. Tužba bez dokaza ima pravne, finansijske i reputacijske posljedice. Analitičar bi trebao ispraviti rečenicu u skladu sa dokazima (na primjer, upisati datum prvog otkrivenog pristupa i reći 'nisu pronađeni uvjerljivi dokazi, istraga je u toku' za curenje podataka).

13. Menadžer želi profilisati svu aktivnost zaposlenog iz sigurnosnih dnevnika s umjetnom inteligencijom kako bi shvatio da li je 'lojalan' ili ne. Šta treba da uradi stručnjak za bezbednost?

A) Odbija zahtjev i upućuje ga na odgovarajući kanal (HR/pravna/definirana istraga); sigurnosni podaci nisu sredstvo ličnog nadzora ✔
B) Kreira i isporučuje profil jer menadžer to zahtijeva
C) Izvlači samo neke zapise i daje djelomični profil
D) Neka profil kreira umjetna inteligencija jer odgovornost prelazi na umjetnu inteligenciju

Opis: Sigurnosni podaci se prikupljaju u sigurnosne svrhe; Praćenje/profiliranje osobe je zloupotreba, pretvara se u lični nadzor i krši KVKK. Stručnjak treba da odbije ovaj zahtjev i uputi ga na odgovarajući kanal (HR, pravni, definisan i legitiman istražni okvir). Dobra volja ili želja menadžera ne opravdavaju ovo ograničenje.

14. SOC odlučuje koje korake sigurnosnog toka posla da automatizuje. Koji je najbolji princip za automatizaciju?

A) Odluke o najvećem riziku prvo bi trebale biti automatizirane kako ne bi bilo uključenja ljudi
B) Niskorizični/reverzibilni koraci su automatizovani; visoki rizik/nepovratni koraci ostaju pred ljudskim vratima i svaka automatizacija ima način da poništi ✔
C) Svi SOC bi trebali biti potpuno automatizirani i samorevizija je nepotrebna
D) Automatske radnje se ne moraju poništavati jer AI ne pravi greške

Objašnjenje: Niskorizični, ponavljajući i reverzibilni koraci (sakupljanje dnevnika, obogaćivanje alarma) mogu se automatizirati; Visokorizični, nepovratni koraci koji zahtijevaju prosudbu (izolacija servera, zakrpe proizvodnje, službeno obavještenje) prolaze kroz ljudska vrata. Uz to, svaka automatska radnja mora imati uske kriterije i način poništavanja. Automatizacija ne uklanja odgovornost, samo je ubrzava.