End-to-End SOC töövoog, automatiseerimine (SOAR), kvaliteedijuhtimine ja enesekontroll

Kasu:

• Võimalus kujundada SOC-töövoog, mis koosneb kogumisest, tuvastamisest, triaažist, uurimisest, sekkumisest, täiustamisest, aruandlusest ja tagasisidest, tehisintellekti ja inimväravate asukoha täpsustamisest.
• Võimalus eraldada automatiseerimist vastavalt riskitasemele (madala riskiga/pööratavad sammud on automaatsed, kõrge riskiga/pööratavad sammud on inimese juhitavad) ja kujundada iga automaatse tegevuse jaoks tagasipööramistee.
• Võimalus luua eneseseire- ja tagasisideahel, mis mõõdab regulaarselt valepositiivse/negatiivse määra, MTTD/MTTR-i, väljundi täpsust ja mudeli triivi

See viimane üksus ühendab mooduli jooksul eraldi õpitud osad – logianalüüs, ohtude otsimine, haavatavuse haldamine, intsidentidele reageerimine, andmepüügi, koodide ülevaatamine, luureandmed, aruandlus – üheks otsast lõpuni töövoogu. Tõelises turbeoperatsioonide keskuses (SOC) need sammud ei ole lahti ühendatud; Häire käivitab uurimise, mis käivitab vastuse, mis käivitab teate, mis käivitab heastamise. Tehisintellekt osaleb selle ahela igas lülis, kuid inimene on see, kes hoiab ketti ja teeb otsuseid iga kriitilise ukse juures.

Lisaks käsitleb see üksus kahte kriitilist teemat. Esimene on automatiseerimine: SOAR (Security Orchestration, Automation and Response – turvaprotsesse automatiseeriv ja organiseeriv platvorm) ja tehisintellekti kombineerimisel suureneb nii võimsus kui ka risk; Tuleb teha vahet sellel, mida saab automatiseerida ja mida ei saa kunagi inimeste heakskiidult eemaldada. Teiseks, kvaliteedijuhtimine ja iseregulatsioon: tehisintellekti toega turvatoimingut ei seadistata ega jäeta üks kord maha; seda pidevalt jälgitakse, mõõdetakse, antakse tagasi ja korrigeeritakse. Automatiseerimine suurendab kiirust, kuid ei kõrvalda vastutust; Turvaprogramm jääb turvaliseks ainult regulaarse enesekontrolli kaudu.

End-to-end SOC töövoog

Vaatame, kus AI mängu tuleb ja kes selle tüüpilise juhtumi elutsükli jooksul heaks kiidab:

1. Kogumine ja jälgimine: logid liiguvad SIEM-i; AI vähendab müra, teeb kokkuvõtte. (Automaatne, madal risk.)
2. Tuvastamine ja häire: reegel + anomaalia + AI mustri tuvastamine. (Automaatne tootmine; triaaž toimub inimestel.)
3. Triaaž: kas häire on tõeline või valepositiivne? AI soovitab loogikat ja prioriteeti; kinnitab analüütik. (Inimese uks.)
4. Uurimine: AI kogub tõendeid, määrab ajakava, loetleb algpõhjused; kinnitab analüütik toorete tõenditega. (Inimese uks.)
5. Sekkumine: isoleerimine, lukustamine, puhastamine. AI pakub valikut/mõju; Otsus on volitatud analüütiku käes. (Kriitiline inimvärav.)
6. Parandus: haavatavuse sulgemine, algpõhjuse kõrvaldamine. AI plaani kavand; heakskiit muudatuste juhtimises. (Inimene + protsess.)
7. Aruandlus: AI kirjutab mustandit, kohandub publikuga; Ekspert kontrollib tõendeid ja allkirjastab need. (Inimese uks.)
8. Õppimine õppetundides ja tagasiside: tehisintellekt ekstraheerib mustreid; Värskendab meeskonna tuvastamise reegleid ja käsiraamatuid. (Inimene + protsess.)

Selle ahela reegel: madala riskiga, korduvaid, pöörduvaid samme saab automatiseerida; Kõrge riskiga, pöördumatud, otsustusvõimet nõudvad sammud läbivad inimese ukse.

Automatiseerimise otsuste tabel

samm

Kas seda saab automatiseerida

tingimus

inimeste heakskiit

Palkide kogumine, normaliseerimine

Jah, täpselt

—

pole vajalik

Häirete rikastamine (IOC-otsing)

Jah

Allikas on usaldusväärne

See vaadatakse üle

Valepositiivne eliminatsioon (teadaolevalt hea)

osaliselt

range reegel

Kontrollitakse proovide võtmisega

Andmepüügimeil karantiini

osaliselt

kõrge täpsusega

Ülevaate + tagasipööramise tee

Konto automaatne lukustamine

ettevaatlik

Ainult selged kriteeriumid

Kiire inimese kontrollimine

Isoleerige server

Üldiselt ei

Välja arvatud kriitiline infrastruktuur

Inimese pealesunnitud otsus

Lappimine (tootmine)

ei

—

Testimine + muudatuste juhtimine

Ametlik aruanne/teatis

ei

—

Ekspert + seadus

Kvaliteedijuhtimine ja eneseaudit

AI-toega turvaoperatsioon on elav süsteem; selle jõudlus muutub aja jooksul (uued rünnakud, muutuv keskkond, mudelivärskendused). Ohutuse tagamiseks on vaja regulaarselt mõõta:

• Valepositiivsete ja valenegatiivsete määr: kui sageli tekitab AI asjata häireid, kui sageli jätab see tegelikust ohust märkamata? Valenegatiive jälgitakse eriti, kuna need tekitavad vaikselt kahju.
• MTTD/MTTR: ​​kas keskmised tuvastamis- ja reageerimisajad paranevad?
• AI väljundi täpsus: kui suur osa AI kokkuvõtetest/leidudest/tsitaatidest läbib valimi valimise?
• Automatiseerimise turvalisus: kas automaatsed toimingud toimivad ootuspäraselt, kas on valekäivitusi, kas tagasivõtmised töötavad?
• Tagasiside tsükkel: kas leitud tegelikest sündmustest saavad uued tuvastamisreeglid ja tõstatatud häiretest erandite loendid?

Tingimused: MTTD (keskmine tuvastamise aeg). Tagasiside on siis, kui toiming õpib oma tulemustest ja värskendab oma reegleid. Mudeli triiv on siis, kui tehisintellekt vananeb ja jõudlus keskkonna muutudes väheneb. Enesekontroll on meeskonna enda protsesside regulaarne ja kriitiline ülevaatus.

kolm minikarpi

Juhtum 1 – õige automatiseerimine. SOC automatiseerib sammu, mille käigus "automaatselt rikastatakse ja prioriseeritakse hoiatusi, mis vastavad teadaolevatele pahatahtlikele IOC-dele ja on madala riskiga kategoorias"; kuid jätab "serveri isoleerimise" sammu alati inimese heakskiiduks. Tulemus: analüütikud vabanevad 400 rutiinsest häirest päevas, vabastades aega tõelisteks uurimisteks, jättes kriitilised otsused inimese teha. Keti õige osa on automaatne, õige koht on inimene.

Juhtum 2 – automaatika annab tagasilöögi. Teine SOC määratleb "konto automaatlukustamise kahtlasel sisselogimisel" reegli väga laialt. Ühel päeval lukustab reegel konfiguratsioonivea tõttu korraga 1200 legitiimset kasutajat ja töö seiskub; Pealegi pole taastamise tee määratletud. Õppetund: suure mõjuga automatiseerimisel peavad olema ranged kriteeriumid, järkjärguline juurutamine ja tagasipööramise tee. Automatiseerimine peaks olema pöörduv ja seda tuleks jälgida isereguleerimise kaudu.

Juhtum 3 – libisemine, mille tabas enesekontroll. Kolm kuud kestnud enesekontrolli käigus märkab meeskond, et tehisintellekti andmepüügi tuvastamise täpsus väheneb: uus andmepüügilaine jääb vahele, kuna see ei sobi vanade mustritega (mustri triiv). Meeskond kogub proove, värskendab tuvastamisreegleid ja värskendab AI-le antud konteksti. Ilma regulaarse enesekontrollita oleks see vaikne kõrvalehoidmine võinud kesta kuid. Õppetund: kui sooritus on üks kord hea, ei jää see alati heaks; mõõtmine ja tagasiside on olulised.

Nõrk viip / Tugev viip

Nõrk viip:

Automatiseerige meie SOC täielikult ja laske tehisintellektil kõike teha.

See taotlus nõuab automatiseerimist ilma riskide diskrimineerimiseta, ignoreerib inimeste uksi ega arvesta tagasipööramist ega juhtimist. Rakendamisel muutuvad kõrge riskiga otsused ilma järelevalveta automatiseerituks ja muutuvad katastroofiks esimese vea korral.

Võimas viip:

Sinu roll: SOC protsesside kujundamise konsultant. [Loetlege] need sündmuse elutsükli etapid kolmeks vastavalt riskitasemele: (A) täielikult automatiseeritud (madal risk, pöörduv, korduv), (B) tehisintellekt soovitab + inimene kiidab heaks, (C) alati inimese otsus (suur risk, pöördumatu). Soovitage iga (A) ja (B) jaoks kohustuslik tagasipööramistee ja jälgimismõõdik. Koostage ka kvartaalne enesekontrolli kontrollnimekiri: valepositiivne/negatiivne määr, MTTD/MTTR, AI väljundi täpsuse valim, mustri triivimise märgid.

Tugev nõudlus eraldab automatiseerimise riskitaseme järgi, nõuab tagasivõtmist ja jälgimist ning loob iseregulatsiooni raamistiku.

Kopeeritavad viipade mallid

AUTOMATISEERIMISE RISKI ERALDAMISE MALL Eraldage need turbe töövoo etapid kolmeks: (A) täielikult automatiseeritud sobiv, (B) soovitab, et inimene kiidab heaks, (C) alati inimese otsus. Kirjutage iga sammu põhjendus, pöörduvus ja mõju äritegevusele. Soovitage suure mõjuga sammude jaoks kohustuslikku tagasipööramisteed. Sammud: [loend]

ROLLBACK DESIGN TEMPLATE automaatseks tegevuseks [nt. konto lukustus] pakuvad turvalist ülesehitust: käivituskriteeriumid (kitsad), järkjärguline juurutamine, vale päästiku tagasipööramise samm, hoiatus ja inimese kontrollimise punkt. Disain pimeda automatiseerimise vältimiseks. Toiming: [kirjutada]

ENESEAUDITI KONTROLLLOENDI MALL Koostage tehisintellektiga töötava SOC-i kord kvartalis enesekontrolli kontrollnimekiri: valepositiivne/negatiivne määr, MTTD/MTTR-i kõrvalekalle, tehisintellekti väljundi täpsuse proovivõtt, automatiseerimise valed päästikud, mustri triivimise märgid, tagasiside ahela toimimine, privaatsuse/anonüümsuse vastavus. Kirjutage iga kauba kohta, kuidas seda mõõdetakse.

TAGASISISTE MULLJoonistage, mida õpitakse tegelikust sündmusest/häirest, mis ebaõnnestub: (1) muster, millest saab uus tuvastamise reegel, (2) valepositiivne tulemus, mis lisatakse erandite loendisse, (3) käsiraamatu samm, mida värskendatakse, (4) uus kontekst, mis AI-le antakse. Sündmuse/häire kokkuvõte: [kleebi]

Levinud vead

• Kõrge riskiastmega sammu automatiseerimine. Inimese uksest ei eemaldata pöördumatuid samme, nagu serveri isoleerimine, tootmise lappimine, ametlik teavitamine.
• Ei tööta välja otsimise teed. Võimalik, et mis tahes automaatne toiming käivitub valesti; Automatiseerimine ilma tagasivõtmis- ja kinnituspunktita on ohtlik.
• Seadke ja unustage. AI jõudlus muutub keskkonna muutudes; Ilma regulaarse enesekontrolli ja mõõtmiseta kogunevad vaiksed kõrvalehoidmised.
• Lihtsalt valepositiivse jälgimine. Valenegatiiv (tegelik oht, mis vahele jääb) on ohtlikum, kuid raskemini märgatav; Vaadake seda privaatselt.
• Tagasiside tähelepanuta jätmine. Kui tuvastatud sündmused ei muutu uueks reegliks ja ebaõnnestunud häired ei muutu erandiks, siis toiming ei õpi ja kordab sama viga.

Vihje: automatiseerimisotsuse kuldküsimus: "Kas seda toimingut saab tagasi võtta, kui see käivitatakse valesti ja milline on selle ärimõju?" Kui vastus on "kergesti tühistatav, vähese mõjuga", automatiseerige; Kui "pöördumatu või tugev mõju", hoidke inimese ukse ees.

Ettevaatust: Automatiseerimine ei kõrvalda vastutust, vaid kiirendab seda. Valesti läbimõeldud automaatne tegevus põhjustab kahju palju kiiremini ja laiemalt, kui inimene seda suudaks. Iga automaatika on ümbritsetud kitsaste kriteeriumide, tagasipööramise tee ja regulaarse kontrolliga; Lõplik vastutus lasub alati inimesel.

Kokkuvõttes

See üksus ühendas kõik mooduli osad täielikuks SOC-töövooks: kogumine, tuvastamine, triaaž, uurimine, reageerimine, parandamine, aruandlus ja tagasiside. AI on seotud iga lüliga, kuid inimene on see, kes hoiab ketti ja teeb otsuseid iga kriitilise ukse juures. Automatiseerimine (SOAR + AI) suurendab võimsust; Reegel on selge: madala riskiga, tagasipööratavad, korduvad sammud muutuvad automatiseerituks, kõrge riskiga pöördumatud sammud läbivad inimese ukse ning igal automatiseerimisel on võimalus tühistada. Lõpuks töötab tehisintellektil töötav turvaprogramm: regulaarselt mõõdetakse valepositiivseid/negatiivseid tulemusi, MTTD/MTTR-i, väljundi täpsust ja mustri triivi; Leitu muutub tagasisideahelas reegliteks ja mänguraamatuteks. Automatiseerimine kiirendab vastutust, mitte ei eemalda seda; Enesekontroll hoiab turvalisuse elus.

Rakenduse ülesanne

Kirjutage üles oma organisatsiooni (või SOC-i näidisjuhtumite elutsükkel). Klassifitseerige iga etapp A/B/C-ks malliga „Automatiseerimisriski eraldamine” ja tuletage turvaline automatiseerimise kujundus malliga „Tagasikujundus” vähemalt ühe „suure mõjuga” etapi jaoks. Seejärel looge kvartaalne kontrollnimekiri malliga „Enesekontrolli kontrollnimekiri” ja määrake, kuidas mõõdate oma keskkonnas iga mõõdikut.

kontrollnimekiri

• [ ] Jagasin intsidendi elutsükli iga etapi A/B/C riskiklassi.
• [ ] Hoidsin kõrge riskiga, pöördumatuid samme inimese ukse taga.
• [ ] Kujundasin iga automaatse toimingu jaoks kitsad kriteeriumid ja tagasivõtmise tee.
• [ ] Olen plaaninud jälgida valepositiivsete ja eriti valenegatiivsete arvu.
• [ ] Plaanisin regulaarselt mõõta MTTD/MTTR ja AI väljundi täpsust.
• [ ] Koostasin kvartaalse enesekontrolli kontrollnimekirja mustrite triivimiseks.
• [ ] Ühendasin leitud sündmused ja viskasin häireid tagasisideahelasse.

Mooduli eksam

1. SIEM-i triaaži AI märkis häire kui „madala prioriteediga, tõenäoliselt valepositiivne” ja lükkas selle loendi lõppu. Mida peaks analüütik selle häirega ette võtma?

• A) kontrollib siiski iseseisvalt häiret ja kontrollib seda töötlemata tõenditega; Analüütik teeb sulgemisotsuse ja fikseerib selle ✔
• B) Tehisintellekt lülitab häire automaatselt välja ilma seda uurimata, kuna ütleb, et see on madala prioriteediga.
• C) Annab häire järgmisele vahetusele üle.
• D) Lihtsalt vaadake tehisintellekti antud kokkuvõtet ja edastage aruanne

Selgitus: AI prioritiseerimine on soovitus, mitte diagnoos; Madala prioriteediga lipp võib katta tõelise rünnaku (valenegatiivne). Analüütik peab hoiatust siiski iseseisvalt kontrollima, kontrollima seda töötlemata tõenditega ja tegema otsuse selle sulgemise kohta ise. Negatiivne tehisintellekti väljund ei garanteeri ohu puudumist.

2. Millise riskide kombinatsiooni märgib tehisintellekt tõelise rünnaku "normaalseks" ja analüütik, kes seda usaldab ja oma analüüsi leevendab?

• A) Ainult valepositiivsus ja häireväsimus
• B) Valenegatiivne ja automatiseerimise eelarvamus (liigne AI-le toetumine) ✔
• C) Ainult logiallika puudumine
• D) Ainult SIEM-reegli viga

Selgitus: see on valenegatiivne, kui mudel jätab tegelikust ohust märkamata; Automatiseerimise eelarvamus on see, kui analüütik usaldab liiga tehisintellekti ja loobub sõltumatust ülevaatest. Kui need kaks ühinevad, kaob inimliku kontrolli põhjus ja rünnakust saab täielikult mööda minna. Seetõttu uuritakse ka valdkondi, mida tehisintellekt nimetab "puhtaks".

3. Tehisintellekt ütles triaaži ajal „CVE-2024-88888, CVSS 9.8, plaaster kohe”. Mida peaks analüütik kõigepealt tegema?

• A) peab CVE-d usaldusväärseks ja algatab kohe paigamisplaani
• B) Kuna CVSS on 9.8, seab see selle esikohale ilma muid turvaauke uurimata
• C) kontrollib CVE numbrit ja skoori NVD/müüja kirjes; ✔ Kui kirjet pole, siis seda ei loetleta, teades, et see võib olla võlts.
• D) Ilma CVE-d kontrollimata kirjutab administraator selle aruandesse kui "kriitiline oht"

Kirjeldus: keelemudelid mahuvad vabalt olematu CVE numbri ja skoori (hallutsinaadid). Analüütik peab kontrollima CVE-d NVD/müüja logis ning kinnitama selle autentsust ja skoori, enne kui paika paneb. Kontrollimata CVE loob esmalt ühenduse ressursiga; Vastasel juhul raiskab meeskond aega olematu plaastri jahtimisele.

4. Juhtumi uurimise kiirendamiseks kleebib ekspert tulemüüri töötlemata logi koos tegelike sisemiste IP-de, kasutajanimede ja VPN-serveri nimedega avalikult kättesaadavasse tehisintellekti tööriista. Mis on siin peamine probleem?

• A) AI ei saa logivormingut lugeda, seega on analüüs kasutu
• B) Kui palk on liiga pikk, aeglustab see mudelit.
• C) Tulemüüri logid nagunii analüüsiks ei sobi
• D) tegelikku IP-d, kasutajate ja serverite nimesid jagatakse ilma anonüümsuseta; See on nii KVKK rikkumine kui ka organisatsiooni võrgukaardi lekkimine ✔

Kirjeldus: Turvaandmed on nii isikuandmed (kasutaja, IP) kui ka ettevõtte luureandmed, mis paljastavad organisatsiooni ründepinna (võrgutopoloogia, serverite nimed). Selle andmine välisele tööriistale seda anonüümseks muutmata on nii KVKK rikkumine kui ka paljastab võrgukaardi, mis on ründajale kasulik. Esiteks on tegelikud väärtused varjatud ühtsete kohahoidjatega.

5. Mis muudab ohujahti hästi kavandatuks?

• A) See algab konkreetsest kontrollitavast hüpoteesist ja leitud jälge kinnitavad toored tõendid ✔
• B) See algab tehisintellektile ütlemisega "otsi, kas minu võrgus on ründaja".
• C) Kuulutab automaatselt iga leitud ebanormaalse/haruldase sündmuse rünnakuks
• D) See töötab ainult siis, kui saabub häire, see ei ole ennetav

Selgitus: Hea ohujaht ei alga mitte häirest, vaid konkreetsest ja kontrollitavast hüpoteesist, mis võib tõeks osutuda, aga ei pruugi (nt „Kas konto X ühendus töövälisel ajal rohkem kui 50 sisemise IP-ga”). Ebamäärast küsimust nagu "Kas minu võrgus on midagi halba" ei saa testida ja see jätab AI-i oletama. Leitud jälge ei peeta ohuks enne, kui see on toorete tõenditega kontrollitud.

6. Sisevõrgu isoleeritud testserveris on haavatavuse CVSS-skoor 9,1; Samas loendis on CVSS 7.5 Internetile avatud serveris, kuid KEV-loendis on veel üks haavatavus (mida tegelikult ära kasutatakse). Mis on õige prioriseerimine?

• A) Kõige kõrgema CVSS-iga (9.1) paigatakse alati esimesena
• B) 7.5 haavatavus Internetis ja KEV nimekirjas viiakse edasi; CVSS ei ole ainus kriteerium, määravad on kokkupuude ja tegelik kuritarvitamine ✔
• C) Mõlemad on lapitud samal ajal ja sama prioriteediga, eristamine pole vajalik
• D) Ühtegi neist ei parandata, kuna testserveris on haavatavus

Selgitus: CVSS ei sea prioriteete üksi; tegelik risk määratakse EPSS (probability of exploitation), KEV (tegelik ekspluateerimine) ja organisatsioonilise konteksti (ekspositsioon, kriitilisus, kompenseeriv kontroll) alusel. Internetis eksponeeritud ja tegelikult ärakasutatud (KEV) haavatavus hoiab ära isoleeritud ja väikese tõenäosusega kõrge CVSS-i haavatavuse.

7. Intsidendi vastuses ütleb tehisintellekt: „Saadavalt IC_HOST_7 pärinev liiklus on kahtlane, isoleeri see server”. IC_HOST_7 on asutuse peamine autentimisserver. Mida peaks analüütik tegema?

• A) Tehisintellekt isoleerib kohe serveri, sest nii ütleb
• B) jätab isolatsiooniotsuse täielikult tehisintellekti hooleks
• C) Esmalt hindab ärimõju ja liikluse põhjust; See ei eralda kriitilist infrastruktuuri ilma selle mõju mõõtmata ja teeb otsuse analüütikuna ✔
• D) Eraldab serveri ja seejärel kustutab kõik logid

Kirjeldus: isoleerimine on kriitiline otsus, mida on raske tagasi pöörata ja mis võib viia äritegevuse katkemiseni; ei saa üle kanda tehisintellekti. Autentimisserveri isoleerimine võib takistada kõigil töötajatel sisse logimast. Analüütik peab esmalt hindama ärimõju ja liikluse põhjust (võib olla legitiimne tehing), ise otsuse langetama; Tehisintellekti soovitust ei tohiks korraldusena rakendada.

8. Lunavarajuhtumi korral soovib meeskond kahjustatud masinat uuesti üles ehitada, et see kiiresti puhastada; kuid masinal on kohtuekspertiisi tõendeid (mäluväljastus, ründaja tööriistad), mida pole veel kogutud. Milline on õige lähenemine?

• A) masin paigaldatakse kohe uuesti; tõendid on ebaolulised
• B) Tehisintellektilt küsitakse 'kiireimat puhastust' ja õpetust rakendatakse pimesi.
• C) Masin lülitatakse välja ja visatakse minema, sest tõendid on juba logis.
• D) Kõigepealt tehakse kohtuekspertiisi pilt ja mälupilt ning säilitatakse tõendid, seejärel teostatakse puhastamine/taastamine ✔

Selgitus: taastumise kiirus ei saa ületada tõendite säilitamist. Masina uuesti paigaldamine ilma tõendeid kogumata hävitab järelevalveahela ja halvab kohtuprotsessi. Kõigepealt tehakse kohtuekspertiisi pilt ja mälupilt, seejärel puhastatakse/taastatakse. Kohtuekspertiisi samme ei delegeerita tehisintellektile.

9. Mis on üks kõige usaldusväärsemaid tehnilise kontrolli kihte kahtlustatava andmepüügimeili analüüsimisel ja kuidas seda kinnitada?

• A) SPF/DKIM/DMARC tulemuseks on meilipäised; Kinnitatud toorpealkirjast, mitte tehisintellekti kokkuvõttest ✔
• B) e-kirja värv ja font; otsustab visuaalne kujundus
• C) Klõpsake reaalajas süsteemis kahtlasel lingil ja vaadake avanevat lehte.
• D) Ainuüksi tehisintellekt, mis ütleb „andmepüügi”, on piisav tõend

Selgitus: SPF/DKIM/DMARC tulemused meilipäistes näitavad, kas meil on tegelikult pärit domeenist, mille kohta see väidetavalt kuulub. Kui kõik kolm ebaõnnestuvad ja saatja võltsib domeeni, muutub kahtlus tugevamaks. Seda tuleks aga kinnitada toorpealkirjast, mitte tehisintellekti kokkuvõttest. Lisaks ei klõpsata reaalajas süsteemis kunagi kahtlastel linkidel.

10. Koodiülevaatuse käigus soovitas AI parandada XSS-i haavatavust ja ütles, et see sulgeb haavatavuse. Mida peaks analüütik/arendaja tegema?

• A) peab paranduse usaldusväärseks ja paneb selle otse tootmisse
• B) vaatab paranduse üle, kinnitab, et see tõesti sulgeb haavatavuse ja ei too uusi turvaauke/vigu ning kirjutab testi; Alles siis satub see lattu ✔
• C) Kuna ta pole kindel, kirjutab ta kogu faili tehisintellekti ümber ja kasutab seda.
• D) Rakendab paranduse, kuid läbib teste kirjutamata

Selgitus: AI soovitatud parandus ei ole automaatselt turvaline; See ei pruugi haavatavust täielikult sulgeda, võib puhastada vale kihti või tuua kaasa uue haavatavuse/funktsionaalse vea. Iga plaaster vaadatakse üle, hinnatakse, kas see tõesti sulgeb haavatavuse ja kas see toob kaasa uusi probleeme, ning kirjutatakse positiivsed ja negatiivsed testjuhtumid; Alles seejärel siseneb see lattu.

11. Rünnakut analüüsides ütles tehisintellekt "see on kindlasti APT-Dark Eagle'i grupi töö". Milline on ohuluure seisukohalt õige lähenemine?

• A) Aktsepteerige viidet sellisel kujul ja kirjutage see aruandesse kui "kindel toimepanija"
• B) Ta ehitab kogu oma kaitse selle rühma põhjal, ilma et oleks kunagi rühma nime kahtluse alla seadnud.
• C) kasutab pigem „võtetega kooskõlas olevat” keelt kui täpset omistamist, kontrollib rühma teadaolevates allikates ja võtab arvesse väljamõeldud võimalust ✔
• D) Tsiteerimine on alati ebavajalik, seda ei võeta üldse arvesse

Selgitus: Grupi omistamine on kõige keerulisem ja kõige ebatäpsem luurevaldkond; AI võib isegi välja mõelda bändi nime, mida pole olemas. Täpse viite asemel kasutatakse keelt "ühildub nende tehnikatega" ja rühma nimi kinnitatakse teadaolevates luureallikates. Lisaks ei põhine kaitse lühiajalistel IOC-del, vaid püsival TTP tuvastamisel.

12. Intsidendi aruande mustandis kirjutas tehisintellekt lause "ründaja oli tõenäoliselt kolm nädalat sees ja eksfiltreeris klientide andmeid"; arvestades, et nende väidete toetuseks puuduvad veenvad logi tõendid. Mida peaks analüütik tegema?

• A) Jätab lause selliseks, nagu see on, sest see on dramaatiline ja muljetavaldav
• B) Jätab lause välja, kuid lisab lõppu "tehisintellekt kirjutas".
• C) Prindib tehisintellektile uuesti kogu raporti ja allkirjastab seda kontrollimata.
• D) Parandab tõenditel põhinevaid väiteid; Teeb vahet „võimaliku/tõestatud/uurimisel oleva” vahel ja võtab välja lõpliku avalduse ilma tõenditeta ✔

Kommentaar: Ametlikus turvaaruandes peaks iga väide olema põhjendatud ja sõna "tõenäoline" ei tohiks kunagi segi ajada "tõestusega". Tõenditeta nõudel on õiguslikud, rahalised ja maine tagajärjed. Analüütik peaks parandama lauset vastavalt tõenditele (näiteks kirjutama esmakordse juurdepääsu kuupäev ja ütlema, et andmete lekke puhul ei leitud veenvaid tõendeid, uurimine on pooleli).

13. Juht soovib tehisintellektiga profileerida töötaja kogu tegevust turvalogidest, et aru saada, kas ta on "lojaalne" või mitte. Mida peaks turvaspetsialist tegema?

• A) lükkab taotluse tagasi ja suunab selle vastavasse kanalisse (HR/juriidiline/määratletud uurimine); turvaandmed ei ole isikliku jälgimise vahend ✔
• B) Loob ja edastab profiili, kuna haldur seda nõuab
• C) See eraldab ainult mõned logid ja annab osalise profiili
• D) Laske profiili luua tehisintellektil, sest vastutus läheb üle tehisintellektile

Kirjeldus: Turvaandmeid kogutakse turvalisuse eesmärgil; Isiku jälitamine/profileerimine on väärkasutus, läheb üle isikujälituseks ja rikub KVKK-d. Ekspert peaks selle taotluse tagasi lükkama ja suunama selle sobivasse kanalisse (HR, juriidiline, määratletud ja seaduslik uurimisraamistik). Hea tahe või juhi soov seda piiri ei õigusta.

14. SOC otsustab, millised turvatöövoo etapid automatiseerida. Milline on parim automatiseerimise põhimõte?

• A) Kõrgeima riskiga otsused tuleks esmalt automatiseerida, et vältida inimeste osalust
• B) Madala riskiga/pööratavad sammud on automatiseeritud; kõrge riskiga / pöördumatud sammud jäävad inimese ukse taha ja igal automaatikal on võimalus tühistada ✔
• C) Kogu SOC peaks olema täielikult automatiseeritud ja enesekontroll pole vajalik
• D) Automatiseeritud toiminguid ei pea tagasi võtma, sest AI ei tee vigu

Selgitus: Madala riskiga, korduvaid ja pöörduvaid samme (logi kogumine, häire rikastamine) saab automatiseerida; Kõrge riskiga, pöördumatud ja otsustusvõimet nõudvad sammud (serveri isoleerimine, tootmise lappimine, ametlik teavitamine) läbivad inimese ukse. Lisaks peavad igal automaatsel toimingul olema kitsad kriteeriumid ja tagasivõtmisviis. Automatiseerimine ei eemalda vastutust, vaid kiirendab seda.