سود:
- امکان عادی سازی چندین منبع مهر زمانی به یک مرجع واحد (UTC) و علامت گذاری ناهنجاری ها و شکاف ها در جدول زمانی فوق العاده با هوش مصنوعی
- توانایی تمایز بین همبستگی و علیت و تأیید روایت ایجاد شده توسط هوش مصنوعی با اتصال هر رویداد به منبع آن
- توانایی تشخیص خطراتی مانند زمان بندی، رانش ساعت و شکاف ثبت و تایید آنها با منابع متعدد
تنها یک چیز وجود دارد که به شما می گوید یک رویداد سایبری در واقع چه زمانی، چگونه و به چه ترتیبی اتفاق می افتد: زمان. زمانی که مهاجم وارد سیستم میشود، کدام فایل را لمس کرده و چه زمانی دادهها را استخراج میکند - همه اینها در گزارشهای مختلف (فایلهای ضبط که در آن سیستم رویدادها را ثبت میکند) و مُهرهای زمانی مختلف (مهر زمان - رکورد تاریخ و زمانی که یک رویداد رخ داده است) ذخیره میشود. تحلیل جدول زمانی این مهرهای زمانی پراکنده را در یک روایت زمانی مرتب میکند و میپرسد «چه اتفاقی افتاده؟» هنر پاسخ دادن به سوال است. در این بخش، خواهیم دید که هوش مصنوعی چگونه سرعت بالایی در سازماندهی این داده های نامرتب ارائه می دهد و در کجا می تواند شما را گمراه کند.
انبوه و مشکلات مُهرهای زمانی
حتی یک فایل دارای چندین مُهر زمانی است. به عنوان مثال، یک سیستم فایل دارای مهرهای MACB است: Modified, Accessed, Changed, Born. علاوه بر این، گزارش رویدادهای سیستم عامل (ویندوز گزارش رویداد)، گزارشهای وب سرور، گزارشهای دیوار آتش، گزارشهای برنامه و رجیستری (رجیستری ویندوز - پایگاه داده سلسله مراتبی که تنظیمات سیستم و برنامه در آن ذخیره میشوند) سوابق وجود دارد.
بزرگترین دام منطقه زمانی و رانش زمانی است. یک گزارش UTC (زمان جهانی هماهنگ) را ثبت می کند، دیگری زمان محلی. ساعت یک سیستم ممکن است به درستی تنظیم نشده باشد. مهاجم ممکن است عمداً مُهرهای زمانی را دستکاری کرده باشد (timestomping - جعل مُهرهای زمانی فایل). بنابراین قبل از ایجاد یک جدول زمانی، منطقه زمانی و دقت ساعت هر منبع باید مشخص شود، همه به یک مرجع مشترک (معمولا UTC) نرمال شوند.
احتیاط: این یک اشتباه کلاسیک است که دو سیاهه را در دوره های زمانی مختلف در کنار هم قرار دهید و بگویید "در یک زمان اتفاق افتاد". قبل از همبستگی، تمام مهرهای زمانی را به یک مرجع واحد تبدیل کنید. در غیر این صورت، رابطه علت و معلولی که توسط هوش مصنوعی (و شما) ایجاد شده است از ابتدا پوسیده است.
تایم لاین فوق العاده و هوش مصنوعی
در پزشکی قانونی کامپیوتری، ساختاری که همه این منابع را ترکیب می کند، ابر زمان نامیده می شود. اغلب با ابزارهایی مانند Plaso/log2timeline تولید میشود و میتواند دهها هزار یا حتی میلیونها ردیف باشد. اینجاست که هوش مصنوعی وارد می شود: علامت گذاری الگوها و ناهنجاری های معنی دار در این نمودار عظیم.
مشارکت های ایمن هوش مصنوعی:
- پرچمگذاری غیرعادی: دسترسی خارج از ساعت، افزایش ناگهانی امتیازات، زنجیره فرآیند غیرمعمول، چندین بار ورود ناموفق در یک بازه زمانی کوتاه.
- خوشهبندی رویداد: گروهبندی رویدادهایی که در یک پنجره زمانی متمرکز میشوند و علامتگذاری آنها بهعنوان «اینجا اتفاق افتاده است».
- طرح کلی روایت: ترجمه رویدادهای تأیید شده به یک داستان زمانی به زبان ساده (نخستین پیش نویس گزارش).
- تشخیص شکاف: "هیچ گزارشی در این فاصله 40 دقیقه ای وجود ندارد - آیا می توان آنها را حذف کرد؟" سوال در مورد کمبودهایی مانند.
در هر کدام، هوش مصنوعی فرضیه هایی را ایجاد می کند. شما علیت و ارزش اثباتی را ثابت می کنید.
نکته: هنگام ارائه جدول زمانی به هوش مصنوعی، ابتدا منطقه زمانی و قالب را به وضوح به آن بگویید: "همه مُهرهای زمانی در قالب UTC، ISO 8601 هستند." ابتدا فرمت های ترکیبی را عادی کنید. اجازه دادن به هوش مصنوعی که قالب را حدس بزند دعوتی برای خطا است.
همبستگی علیت نیست
خطرناک ترین خطای منطقی در تحلیل زمان این است که فکر کنیم جانشینی علت و معلول است. "یک USB در ساعت 22:10 وارد شد، یک فایل در ساعت 22:12 کپی شد" ممکن است دو رویداد متوالی رخ دهد، اما آنها ثابت نمی کنند که یک شخص این کار را برای یک هدف انجام داده است. ممکن است توضیح دیگری وجود داشته باشد. در حالی که هوش مصنوعی روایت روانی ایجاد می کند، این شکاف را نمی بیند و می تواند جمله دقیقی مانند "داده ها از طریق USB به سرقت رفته است" تولید کند. کار متخصص حذف توضیحات جایگزین و پشتیبانی از هر مرحله با شواهد مستقل است.
سه کیف کوچک
مورد 1 - رانش ساعت مشخص شد. در یک مورد، گزارش وب سرور و گزارش فایروال به مدت 3 ساعت متفاوت به نظر می رسیدند. در پیش نویس اول، هوش مصنوعی این «دو حمله جداگانه» را در نظر گرفت. کارشناس دریافت که منطقه زمانی سرور به اشتباه تنظیم شده است. هنگامی که نرمال می شوند، دو لاگ در یک رویداد واحد قرار می گیرند. 3 ساعت "تفاوت فانتوم" از بین رفته است.
مورد 2 - یک شکاف یک حذف را نشان داد. در جدول زمانی فوق العاده 1.1 میلیون خطی، هوش مصنوعی نشان داد که بین ساعت 02:30 تا 03:10 هیچ رکوردی وجود ندارد. کارشناس بررسی کرد: در این پنجره، لاگ های امنیتی به عمد پاک شدند (log wiping). خود خلأ به یکی از قوی ترین شواهد حمله تبدیل شد.
مورد 3 - توهم یک رویداد را ساخت. YZ در حین انجام خلاصه ای گفت: "اکانت مدیر در ساعت 03:45 ایجاد شد." کارشناس به منبع نگاه کرد: هیچ شناسه رویدادی وجود نداشت - عددی در گزارشهای ویندوز که نوع رویداد را نشان میدهد. هوش مصنوعی دو خط مختلف را ترکیب کرد و رویدادی را ایجاد کرد که وجود نداشت. مرحله پیوند دادن به منبع از روایت نادرست جلوگیری کرد.
چهار قالب قابل کپی
1) برنامه عادی سازی زمان:
نقش شما: تحلیلگر جدول زمانی پزشکی قانونی. من به شما مهر زمانی از منابع مختلف می دهم (فرمت ها و دوره های زمانی ممکن است متفاوت باشد). ابتدا قالب و منطقه زمانی هر منبع را تعیین کنید، سپس طرحی برای تبدیل همه آنها به UTC / ISO 8601 ارائه دهید. منطقه زمانی را که مطمئن نیستید به عنوان "نیاز به تایید" علامت گذاری کنید.
2) علامت گذاری ناهنجاری:
زمینه: سرور سازمانی، ساعات کاری عادی 08:00-18:00 (UTC+3). فهرست رویدادهای عادی را به شما میدهم. فقط بر اساس سوابقی که واقعاً در لیست ظاهر میشوند، موارد زیر را علامتگذاری کنید: دسترسی خارج از ساعت، افزایش امتیاز، ورود مکرر ناموفق، زنجیره فرآیند غیرمعمول. برای هر علامت، خط مربوطه را نقل قول کنید. افزودن تفسیر/علت. من آن را ارزیابی خواهم کرد.
3) طرح کلی روایت (برای گزارش):
در زیر رویدادهایی وجود دارد که من تأیید کردم (هر کدام با منبع خود). آنها را به یک روایت ساده و زمانی تبدیل کنید. فقط از رویدادهایی که می دهم استفاده کنید. افزودن یک رویداد، پیشبینی یا علیت جدید. پیوندهای مبهم را به زبانی بنویسید که آنها را «ممکن» توصیف کند.
4) اسکن شکاف و ناسازگاری:
در این جدول زمانی نرمال شده: (1) دوره های گزارشی را که انتظار می رود اما گم شده اند علامت گذاری کنید، (2) رکوردهایی که نامرتب هستند (آینده به گذشته)، (3) سنبله هایی که دسته ای/خودکار ظاهر می شوند. هر کدام را با فاصله خطوط مربوطه نشان دهید. به این نکته اشاره کنید که اینها ممکن است نشانه های حذف/دستکاری باشند اما اثبات نیستند.
اعلان ضعیف / اعلان قوی
اعلان ضعیف:
این گزارش ها را خلاصه کنید و توضیح دهید که چه اتفاقی افتاده است.
بدون محدودیت زمانی، منبع یا "فقط ضبط واقعی". هوش مصنوعی می تواند داستانی روان اما ساختگی بسازد.
اعلان قدرتمند:
نقش شما: تحلیلگر لاگ پزشکی قانونی. منبع: 3 گزارش (امنیت ویندوز، دسترسی آپاچی، فایروال)، همه به استاندارد UTC، ISO 8601. وظیفه: لیست زمانی رویدادها از 14 مارس 21:00-23:00 فقط بر اساس خطوط داده شده. هر خط را با منبع و شناسه/کد رویداد نقل قول کنید. ایجاد همبستگی، ادعای علیت. نظر خواهم داد. فواصل زمانی را که می بینید به عنوان مفقود یا غیرعادی به طور جداگانه علامت گذاری کنید.
منبع، مرجع نرمال شده، "فقط ردیف داده شده" و "تثبیت علیت" خروجی را قابل دفاع می کند.
جدول منابع مهر زمانی
منبع
نمونه مهر زمانی
توجه
سیستم فایل (MACB)
تغییر/دسترسی/ایجاد
باز به زمان بندی
گزارش رویداد ویندوز
ورود، فرآیند، رویدادهای خدمات
شناسه رویداد را تأیید کنید
گزارش وب سرور
زمان درخواست
بررسی منطقه زمانی
فایروال/شبکه
اتصال، رد
همگام سازی ساعت (NTP)
رجیستری
آخرین زمان نوشتن
نظر دادن نیاز به تخصص دارد
برنامه/مرورگر
تاریخچه، حافظه پنهان
ممکن است به وقت محلی باشد
اشتباهات رایج
- ایجاد همبستگی بدون عادی سازی دوره زمانی. برش های مختلف "همزمانی" کاذب ایجاد می کنند.
- اشتباه همبستگی برای علیت رویدادهای متوالی به معنای عامل/هدف یکسان نیستند.
- اعتماد مطلق به مهر زمانی زمان بندی و زمان نادرست ممکن است. با چند منبع تایید کنید.
- عدم تأیید رویدادی که هوش مصنوعی مونتاژ کرده است. اتحاد دو خط ممکن است یک رویداد ناموجود ایجاد کند.
- نادیده گرفتن شکاف ها. گزارش گم شده اغلب مهمترین مدرک است.
به طور خلاصه
تحلیل تایم لاین عملی است که مُهرهای زمانی پراکنده را در یک گاهشماری قابل تأیید به هم متصل میکند. هوش مصنوعی سرعت بالایی در پرچمگذاری ناهنجاری، خوشهبندی، تشخیص شکاف و پیشنویس روایت در خطوط زمانی فوقالعاده میلیونخط فراهم میکند. اما عادی سازی دوره زمانی، تمایز همبستگی-علیت و انتساب هر رویداد به منبع متعلق به انسان است. هوش مصنوعی فرضیه ها را ایجاد می کند. شما هستید که در دادگاه از گاهشماری دفاع می کنید.
وظیفه کاربردی
یک لیست رویداد نمونه از 15 تا 20 خط در قالب و منطقه زمانی مختلف (عمداً شامل یک تغییر زمانی و یک فاصله) تهیه کنید. ابتدا همه آنها را با الگوی "Time normalization plan" به UTC تبدیل کنید. سپس الگوهای "Anomaly marking" و "Gap scan" را اعمال کنید و دریفت ساعت و شکاف ثبت شده توسط هوش مصنوعی را در منبع بررسی کنید.
چک لیست
- [ ] همه مهرهای زمانی را به یک مرجع (UTC) عادی کردم.
- [ ] من هر رویداد را به منبع آن پیوند دادم (فایل/شناسه رویداد/خط).
- [ ] من بین همبستگی و علیت تمایز قائل شدم. توضیحات جایگزین را در نظر گرفتم.
- [ ] من شکاف های گزارش و رکوردهای غیرمعمول را علامت گذاری کردم.
- [ ] من رویدادهایی را که هوش مصنوعی در ضبط اصلی ادغام/خلاصه کرد تأیید کردم.