Kasu:
- Arusaamine, et tehisintellekt kiirendab intsidentidele reageerimist tõendite kokkuvõtte, ajaskaala kehtestamise, algpõhjuste sorteerimise ja mänguraamatu koostamisega, kuid otsus isoleerida/lukustada/sulgeda/teavitada kuulub volitatud meeskonnale.
- Võimalus hinnata piiramisvõimalusi ettevõtte mõju ja pöörduvuse seisukohalt ning mitte eraldada kriitilist infrastruktuuri ilma selle mõju mõõtmata
- Oskus mõista, et taastumiskiirus ei saa ületada tõendite säilitamist (kohtuekspertiisi pilt, tõendite ahel) ja et kohtuekspertiisi samme ei saa üle kanda tehisintellektile
Kui turvaintsident katkeb, on aeg vaenlane. Kuna lunavara hakkab levima, tähendab see, et iga minut krüpteeritakse rohkem masinaid; Kui konto on ohustatud, kaevab ründaja iga minutiga sügavamale. Juhtumireaktsioon (lühidalt IR) on turvaintsidendi tuvastamise, selle piiramise, puhastamise ja normaalseks muutmise protsess. IR nõuab otsuste tegemist surve all, puuduliku teabe ja kella tiksumisega; Just sellepärast peab see olema nii kiire kui ka distsiplineeritud.
AI annab IR-le hindamatu kiiruse: võtab kiiresti kokku hajutatud tõendid (logid, hoiatused, EDR-andmed), loob sündmuste ajaskaala, loetleb võimalikud algpõhjused, koostab kavandi (eelmääratletud samm-sammult sekkumisjuhend) ja kirjeldab sekkumisjärgset aruannet. Kuid kõige kriitilisemad otsused IR-s – süsteemi võrgust eraldamine, konto lukustamine, serveri sulgemine, tõendite kustutamine või säilitamine – on otsused, mida saab pöörata, põhjustada äritegevuse katkemist ja mõjutada kohtuprotsesse. Neid ei saa AI-le delegeerida. AI on IR analüüsi- ja koostamismootor; Otsus isoleerimise, lukustamise, sulgemise ja teavitamise kohta kuulub pädevale reageerimisrühmale.
Juhtumile reageerimise etapid
Ühine raamistik tööstuses (põhineb NIST-il) koosneb kuuest faasist. Igas etapis on AI abi ja piirang erinev:
- Ettevalmistus: Mänguraamatud, rollid, suhtlusplaan on eelnevalt valmis. Tehisintellekt aitab koostada mänguraamatuid ja stsenaariume – enne sündmust, mitte hetkel.
- Tuvastamine ja analüüs: sündmus kontrollitakse ja selle ulatus määratakse. AI võtab kokku tõendid, kehtestab ajakava ja loetleb algpõhjuste hüpoteesid. Otsus on analüütiku enda teha.
- Piiramine: levik on peatatud (isolatsioon, konto lukustus). See kriitiline otsus kuulub inimestele; AI loetleb ainult valikud ja nende mõjud.
- Kustutamine: pahatahtlikud, tagaukselised ja ohustatud kontod kustutatakse. AI koostab kontrollnimekirja; rakendamine ja kontrollimine on inimlikud.
- Taastamine: süsteeme taastatakse ja jälgitakse kontrollitud viisil. AI soovitab seireplaani.
- Saadud õppetunnid: algpõhjus, ajakava, täiustamine. AI koostab aruannete kavandeid ja parendusettepanekuid; Ta on heakskiitmismeeskonnas.
Tingimused: EDR (Endpoint Detection and Response – tarkvara, mis töötab lõpp-punktides, st arvutites ja suudab tuvastada kahtlast käitumist ja sellele reageerida). Algpõhjus on sündmuse tegelik alguspunkt ("Kuidas nad üldse sisse said?"). Vahistamisahel on katkematu registreerimine selle kohta, kes, kuidas ja millal kohtuekspertiisi tõendeid koguti; See on õigusprotsessis kriitilise tähtsusega. MTTR (Mean Time To Respond) on IR-meeskonna tulemuslikkuse mõõt.
Otsustusvolituste tabel
IR tegevus
AI roll
Kes otsustab
Miks
Tõendite kokkuvõte, ajaskaala
tootja, kiirendaja
Analüütik kinnitab
Hallutsinatsioonide oht
Algpõhjuse hüpotees
Sorteerija, soovitus
analüütik
Vajalik kontekst ja tõendid
Mänguraamatu mustand (varem)
visandite generaator
IR juht kinnitab
Kohaldatavus
Isoleerige süsteem
Loetleb ainult valikud
volitatud analüütik
Äri katkemine, tagasipöördumine
Konto lukustamine
Annab mõjuanalüüsi
volitatud analüütik
Vale lukk peatab töö
Tõendite kustutamine/säilitamine
Hoiatused, soovitused
IR juht + seadus
Mõjutatud on kohtuprotsess
Õiguslik/regulatiivne teade
mustandi kirjutaja
Õigus + juhtimine
Juriidiline vastutus
kolm minikarpi
Juhtum 1 – kiire kokkuvõte surve all. Lunavarahoiatus saabub kell 2:40. Analüütik annab tehisintellektile EDR-i ja tulemüüri logid (anonüümseks muutes). AI koostab ajaskaala iga 90 sekundi järel: "01:55 andmepüügimanus avati, 02:10 PowerShell laaditi alla, 02:30 külgsuunaline liikumine algas, 3 masinat on kahjustatud." Analüütik kinnitab selle ahela töötlemata EDR-kirjega, isoleerib kolm mõjutatud masinat oma äranägemise järgi ja peatab leviku. AI vähendas tõendite lugemise 20 minutit 90 sekundini; Analüütik tegi isoleerimisotsuse.
Juhtum 2 – vale isoleerimissoovitus. Ühel juhul ütleb AI: "IC_HOST_7 liiklus on kahtlane, eraldage." Analüütik kontrollib konteksti: IC_HOST_7 on organisatsiooni peamine autentimisserver; Kui isoleeritakse, lõpetavad kõik töötajad sisenemise. Veelgi enam, liikluse põhjuseks on seaduslik varukoopia. Analüütik ei isoleeri, vaid jälgib ainult kahtlast linki. Õppetund: tehisintellekti isoleerimissoovitust ei saa rakendada ilma ärimõju teadmata; Kriitilise infrastruktuuri puhul on otsus hoolikalt inimlik.
Juhtum 3 – tõendite kogemata hävitamine. Koristama kiirustav meeskond küsis tehisintellektilt: "Kuidas ma saan seda masinat kiiresti puhastada?" ta küsib; AI pakub süsteemi uuesti installimist. Kuid masin sisaldab kohtuekspertiisi tõendeid (mäluväljastus, ründaja tööriistad), mida pole veel kogutud; uuesti installimine hävitaks tõendite ahela. Vanemanalüütik tagab esmalt pildi (kohtuekspertiisi koopia) tegemise ja seejärel puhastab selle. Õppetund: taastumise kiirus ei saa ületada tõendite säilitamist; kohtutoiminguid ei delegeerita tehisintellektile.
Nõrk viip / Tugev viip
Nõrk viip:
On lunavararünnak, mida ma peaksin tegema? Millised masinad peaksin välja lülitama?
See viip küsib tehisintellektilt otsest operatiivset otsust (milline masin välja lülitada), ei anna konteksti, ei mõjuta äri ega tõendeid. AI annab üldise või riskantse juhise; Kui rakendatakse pimesi, siis töö peatub või tõendid kaovad.
Võimas viip:
Teie roll: assistent, kes pakub intsidentidele reageerimise meeskonnale ANALÜÜSI ja VALIKUD. Ära tee otsust; ärge käske "lülitage see masin välja / isoleerige", vaid loetlege valikud ja nende võimalik mõju. Töötlege järgmisi anonüümseid tõendeid: [EDR/logi kokkuvõte]. Teie ülesanne: (1) koostage tõenäolise sündmuse ajaskaala, näidake, millistele tõenditele tuginete iga sammu, märkige see, millel puudub alus, kui "[peab olema kontrollitud]", (2) loetlege 3 algpõhjuste hüpoteesi, kirjutage, kuidas neid kõiki testida, (3) loetlege ohjeldamise VALIKUD (isolatsioon, mõju ja tagasilöögi risk); jätke otsus minu teha,(4) tuletage mulle meelde, milliseid samme on vaja tõendite säilitamiseks ENNE isoleerimist.
Tugev nõudlus piirab tehisintellekti valikuvõimaluste pakkujana, seob selle tõenditega, rõhutab ärimõju ja tõendite säilitamist ning jätab inimeste otsustada.
Kopeeritavad viipade mallid
SÜNDMUSE AJASKAA MALL Koostage nende anonüümsete IR tõendite põhjal kronoloogiline sündmuste ajaskaala. Iga rida: [aeg] [sündmus] [tõendite allikas]. Sammu lisamine ilma ajatempli või tõendita; märkige tühjaks "[puudub - tuleb koguda]". Otsus/soovitus, paremusjärjestus ainult tõendite põhjal. Tõendid: [kleebi]
ALGPÕHJUSE HÜPOTEESI MALL Loo selle sündmuse jaoks 3–5 kõige tõenäolisemalt algpõhjuse hüpoteesi. Iga hüpoteesi puhul: (1) tõendid, millel see põhineb, (2) selle kinnitamiseks kogutavad täiendavad tõendid, (3) kõik muud eeldatavad jäljed, kui need on tõesed. Ärge kuulutage ühtegi neist kindlaks; Kasutage tõenäosuskeelt. Sündmuse kokkuvõte: [kleebi]
KONTRAKTSIOONI VÕIMALUSTE MALL Loetlege isoleerimisvalikud järgmise olukorra jaoks (isoleerida / jälgida / lukustada / segment). IGA valiku puhul: mõju ärile, tagastamise raskus, mõju tõenditele, kohtuekspertiisi risk. Ära anna mulle käske; Mina teen otsuse. See on eriti sobiv, kui kaasatud on kriitiline infrastruktuur (identiteet, DNS, varundus). Olek: [kleebi]
PLAYBOOK Draft TEMPLATE (sündmuseelne ettevalmistus)Järgmise stsenaariumi jaoks [nt. töö e-posti kompromiss] kirjutage samm-sammult sekkumise mänguraamat MUNAND: päästik, rollid, ohjeldamine, hävitamine, taastamine, kontakt, teavitamise sammud. Pange iga kriitilise otsuse kõrvale linnuke "[inimlik heakskiit]". Käesolev eelnõu ei jõustu ilma IR juhi nõusolekuta.
Levinud vead
- Laske tehisintellektil teha operatiivseid otsuseid. Küsimus “Millise masina peaksin välja lülitama” kuulub meeskonnale, kes teab ärimõju, mitte AI-le; AI pakub ainult valikut ja mõju.
- Tõendite koristamine ilma neid kogumata. Kohtuekspertiisi tõendite hävitamine kiiruse huvides on pöördumatu; Enne isoleerimist/puhastamist tühjendage pilt ja mälu.
- Ajaskaala importimine aruandesse ilma seda kinnitamata. AI võib moodustada sündmuste ahela; Kinnitage iga samm töötlemata tõenditega.
- Kriitilise infrastruktuuri eraldamine mõtlemata. Identiteedi, DNS-i ja varuserveri eraldamine võib kogu organisatsiooni peatada; kõigepealt mõõta mõju.
- Juhtumi ajal esimest korda mänguraamatu kirjutamine. Mänguraamat koostatakse ettevalmistusfaasis; Kui proovite sündmuse ajal nullist kirjutada, tekib paanika ja vead.
Näpunäide: IR-s öelge tehisintellektile alati "loetlege valikud ja nende mõjud, lubage mul otsustada." See üksainus lause muudab AI ohtlikust "autopiloodist" turvaliseks "nõustajaks".
Ettevaatust. Süsteemi isoleerimisel, konto lukustamisel või tõendite kustutamisel võivad olla pöördumatud tagajärjed ja need võivad mõjutada kohtu-/õigusprotsesse. Need otsused tehakse volitatud reageerimismeeskonna ning vajaduse korral juriidilise ja juhtkonna heakskiidul; AI väljund on soovitus, mitte käsk.
Kokkuvõttes
Juhtumitele reageerimine nõuab nii kiiret ja distsiplineeritud otsuste tegemist surve all ja kella tiksudes. Tehisintellekt suurendab seda kiirust märkimisväärselt tõendite kokkuvõtte, ajaskaala koostamise, algpõhjuste sorteerimise ja mänguraamatu koostamisega. Kuid IR-i kõige olulisemad toimingud – isoleerimine, konto lukustamine, süsteemi sulgemine, tõendite kustutamine/säilitamine, juriidiline teade – on pöördumatud otsused, mis põhjustavad äritegevuse katkemise ja õiguslikke tagajärgi ning mida ei saa AI-le delegeerida. Igas kuues etapis (ettevalmistamine, avastamine, ohjeldamine, hävitamine, päästmine, õppetund) koostab tehisintellekt analüüsi ja kavandi; Otsus kuulub volitatud meeskonnale. Kaks kuldreeglit: puhastage tõendid neid säilitamata, eraldage kriitiline infrastruktuur ilma selle mõju mõõtmata.
Rakenduse ülesanne
Valige juhtumistsenaarium (nt konto ülevõtmine pärast andmepüügi). Tehke tehisintellekti analüüs mallidega „Sündmuse ajaskaala” ja „Põhjuste hüpotees”; Kirjutage üles tõendid, mida kasutate iga ajaskaala sammu kontrollimiseks. Seejärel, kui teil on kolm piiravat valikut, hinnake malliga „Piiramise võimalus” ise igaühe mõju äritegevusele ja märkige üles, millise valiksite ja miks (ja mida teeksite kõigepealt tõendite säilitamiseks).
kontrollnimekiri
- [ ] Piirasin AI-d valiku-/analüüsiserverina; Tegin operatiivse otsuse.
- [ ] Kontrollisin ajaskaala iga sammu toorete tõenditega, välistades väljamõeldised.
- [ ] Planeerisin tõendite kogumise (pilt, mälupilt) sammu enne isoleerimist/puhastamist.
- [ ] Esmalt mõõtsin kriitilise infrastruktuuri isoleerimise mõju äritegevusele.
- [ ] Olen käsitlenud algpõhjuste hüpoteese kui kontrollitavaid võimalusi, mitte kui lõplikke.
- [ ] Valmistasin Playbooki enne üritust valmis ja esitasin selle IR juhile kinnitamiseks.
- [ ] Olen lisanud juriidilise/haldusliku heakskiidu juhuks, kui on nõutav juriidiline teavitamine.