Gnóthachain:
- Sraitheanna anailíse statacha agus dinimiciúla a thuiscint agus a bheith in ann triáiseadh teaghrán, anótáil scripte agus eastóscadh IOC a dhéanamh le hintleachta saorga
- Cumas patrúin ar nós aimhrialtachtaí agus beaconing i dtrácht líonra a chur in iúl i gcoinne bunlíne agus gach IOC a fhíorú
- Cumas a thuiscint gur hipitéis é diagnóis malware agus nach n-úsáidfear an fhaisnéis seo ach le haghaidh cosanta agus imscrúdaithe údaraithe agus nach féidir í a úsáid chun rochtain neamhúdaraithe nó giniúint ionsaithe.
Is minic a bhíonn bogearraí mailíseacha ag eachtra atá mar chroílár aige – bogearraí atá deartha chun damáiste a dhéanamh do chóras, sonraí a ghoid nó smacht a ghlacadh. "Cad a dhéanann an comhad seo, conas a chuaigh sé isteach sa chóras, cad a ghoid sé, nuair a rinne sé cumarsáid leis an taobh amuigh?" Tá freagraí na gceisteanna seo ríthábhachtach chun an teagmhas a thuiscint agus chun é a chur i láthair na cúirte. Mar an gcéanna, léiríonn fóiréinsic líonra - imeacht a rianú ó thaifid tráchta líonra - iontráil agus imeacht an ionsaitheora. San aonad seo, clúdóimid conas is luasaire é AI sa dá réimse seo agus níor cheart é a úsáid ach amháin chun críocha cosanta, fíoraithe agus athbhreithnithe údaraithe.
Teorainn ar dtús: úsáid chosanta
Tá an abairt is tábhachtaí san aonad seo ag an tús: Is é an t-aon aidhm atá leis an bhfaisnéis seo ná do chóras féin a chosaint, cás a imscrúdú le húdarás, agus fianaise a fhíorú. Tá sé mídhleathach agus mí-eiticiúil úsáid a bhaint as AI chun bogearraí mailíseacha oibre a tháirgeadh, cur isteach ar chóras duine eile, nó ionsaí a fhorbairt agus tá sé lasmuigh de raon feidhme an mhodúil seo. An anailísí fóiréinseach cúl-innealtóirí a thuiscint agus a chruthú cad a rinne an ionsaitheoir; gan an t-ionsaí a dhéanamh arís.
Rabhadh: Is úsáid neamhúdaraithe é insint don AI "scríobh malware oibre" nó "conas a bhrisim isteach sa chóras seo". Úsáid cheart: "cuir síos ar cad a dhéanann an sampla aimsithe seo", "cad a chiallaíonn an trácht seo ó thaobh na cosanta de", "conas a fhíoraím an IOC seo". Is é an sprioc i gcónaí cosaint agus fianaise.
Dhá shraith anailíse malware
Tá anailís malware roinnte ina dhá cheann. Anailís statach — cód agus struchtúr an chláir a scrúdú gan é a rith: cineál comhaid, teaghráin - téacsanna inléite laistigh den chomhad, URLanna leabaithe, ar a dtugtar feidhmeanna córais. Anailís dhinimiciúil (anailís dhinimiciúil - an clár a rith i dtimpeallacht iargúlta agus a iompar a bhreathnú): a dhéantar de ghnáth i mbosca gainimh (bosca gainimh - timpeallacht shábháilte leithlis a reáchtáiltear an malware gan dochar a dhéanamh don chóras iarbhír); Déanann sé monatóireacht ar na comhaid a chruthaíonn sé, cé na heochracha clárlainne a mbaineann sé, agus an áit a nascann sé.
Tugann AI míniú agus tosaíocht ag an dá shraith:
- URLanna amhrasacha, orduithe agus patrúin theicniúla a mharcáil in eolairí (teaghráin).
- Ag míniú i dteanga shimplí cad a dhéanann script nó macra.
- Achoimre ar logaí iompair bosca gainimh agus asbhaint IOC (Táscaire Comhréiteach: comharthaí braite cosúil le IP mailíseach, ainm fearainn, hash comhaid, eochair clárúcháin).
- Imlíne ar theicnící ionsaithe aitheanta a mhapáil chuig creat (m.sh., MITER ATT&CK — bonn eolais oscailte a rangaíonn tactics agus teicnící ionsaithe).
Is hipitéis é gach aschur atá le fíorú; Déantar diagnóis chinnteach trí iompar a chruthú sa bhosca gainimh agus sna logaí.
Anailís fhóiréinseach líonra agus AI
Ar thaobh an líonra, tá PCAP agat (gabháil paicéid - an comhad ina ndéantar trácht líonra a thaifeadadh paicéad ar phaicéad), taifid NetFlow/seisiúin (cé a labhair cé leis, cathain, cé mhéad ama) agus logaí seachfhreastalaí/DNS. Is féidir na sonraí seo a bheith ollmhór. AI:
- Bratacha naisc neamhghnácha (tír gan choinne, calafort, fad).
- Aimsíonn sé agus tugann sé tosaíocht do phatrúin thréimhsiúla cosúil le beaconing (malware a sheolann comhartha "Tá mé anseo" chuig an bhfreastalaí ordaithe go tráthrialta).
- Bratacha amhrasacha/déanta patrúin ainm fearainn (ainmneacha fearainn ginte algartam) i logaí DNS.
- Déanann sé an trácht a thiontú ina scéal imeachta simplí agus cuireann sé dréacht-tuarascáil ar fáil.
Leid: Nuair a bhíonn an trácht AI chun anailís a dhéanamh, sainmhínigh an ghnáth-bhonnlíne - gnáth-iompraíocht an chórais: "De ghnáth ní nascann an freastalaí seo ach leis na tíortha seo a leanas ar phort 443." Ní fhaigheann aimhrialtacht ach brí i ndáil leis an ngnáth; Gan bunlíne tá cuma amhrasach ar gach rud agus pléascann rudaí bréagacha dearfacha.
Riosca hallucination agus diagnóis
In anailís malware, tá siabhránacht AI thar a bheith contúirteach: féadfaidh an AI "glaoch feidhme nach bhfuil ann" a "fheiceáil", nó míthuiscint a dhéanamh ar theaghrán agus a rá "is ransomware é seo." Ba cheart go dtacódh diagnóis, áfach, le hanailís dhinimiciúil (iompar feiceálach), fíorú IOCanna, agus sínithe aitheanta más féidir. "Dúirt an AI mar sin" ní leor riamh chun diagnóis a dhéanamh ar theaghlach malware.
trí chás mion
Cás 1 — Macraanailís luathaithe. Bhí an macra VBA i gcáipéis na hOifige a fuarthas i dteagmhas fioscaireachta casta agus fuaite. Mhínigh AI céimeanna an mhacra i dteanga shimplí: rinne sé ordú PowerShell a mhionsonrú agus íoslódáil an pálasta ó sheoladh cianda. Dhearbhaigh an anailísí an hipitéis seo sa bhosca gainimh; Cuireadh bac ar an seoladh íoslódála mar IOC. Chuaigh an anailís síos ó 3 uair go 40 nóiméad.
Cás 2 - Gabhadh Beaconing. Sa taifeadadh NetFlow 6 uair an chloig, léirigh an AI naisc bheaga, rialta leis an IP seachtrach céanna gach 300 soicind. Dhearbhaigh an t-anailísí gur beacon ordú-agus-rialaithe a bhí ann agus d'aithin sé an meaisín comhréitigh. Ba é an patrún rialta a bhí sa chaoi is go gcaillfeadh an tsúil dhaonna na milliúin línte.
Cás 3 — Fill ar ais ó mhídhiagnóis. Bhreathnaigh AI ar na teaghráin de shampla amháin agus chlib sé mar "X ransomware ar a dtugtar." Rith an anailísí sa bhosca gainimh é: ní raibh aon iompar criptithe ann, bhí an sampla ina infostealer i ndáiríre. Chuir fíorú dinimiciúil cosc ar shainaithint bhréagach teaghlaigh ó dhul isteach sa tuarascáil.
Ceithre theimpléad inchóipeála
1) Triáis teaghrán:
Do ról: anailísí malware cosanta. Anseo thíos tá teaghráin a bhaintear as an éide. Marcáil URLanna amhrasacha, IPanna, cosáin comhaid, orduithe, eochracha clárlainne agus táscairí teicniúla agus scríobh JUSTIFICATION. Is hipitéis é seo; ní diagnóisic. Cód oibre a ghiniúint; déan trácht ach ar na teaghráin atá ann cheana féin.
2) Script / cur síos macra:
Déan cur síos cosantach ar an macra/script seo: céim ar chéim cad a dhéanann sé, cén rochtain comhaid/líonra/taifid atá aige, an bhfuil aon rian de dhianseasmhacht nó dí-scagadh sonraí ann? Ceangail gach dearbhú le líne sa chód. An cód a dhéanamh inrite nó é a "fheabhsú"; ach a mhíniú. Mura bhfuil tú cinnte, marcáil é mar "fíoraigh sa bhosca gainimh".
3) Conclúid IOC:
Anseo thíos tá logáil iompair bosca gainimh. Sliocht iarrthóirí IOC infhíoraithe as seo: IP, ainm fearainn, hash comhaid, eochair clárúcháin, comhad cruthaithe. Ceangail gach IOC leis an líne sa loga. Luaigh gur IARRTHÓIRÍ iad seo le haghaidh braite/blocála agus tá deimhniú ag teastáil.
4) Marcáil aimhrialtacht líonra:
Bunlíne: de ghnáth ní labhraíonn an freastalaí seo ach le [tír/seirbhís] ó 443. Tabharfaidh mé taifid seisiúin duit. Bunaithe go hiomlán ar an méid a tharlaíonn I ndáiríre sa taifeadadh: bratach ceann scríbe gan choinne, calafort, fad, agus patrúin tréimhsiúla (beacon); Taispeáin gach ceann leis an líne chomhfhreagrach. Ná héiligh cúisíocht; Trácht ó thaobh na cosanta de.
Leid lag / Pras láidir
Leid lag:
Inis dom, an víreas é an comhad seo?
Gan comhthéacs, gan fíorú; Is féidir le AI breathnú ar na teaghráin agus teacht suas le diagnóis bheacht ach míchruinn.
Leid chumhachtach:
Do ról: anailísí malware cosanta. Tabharfaidh mé sampla táscairí statacha duit (cineál comhaid, teaghráin, APIs ar a dtugtar) agus achoimre ar iompar bosca gainimh. Tasc: mol catagóir fhéideartha (m.sh. íoslódálaí, hacker, earraí ransom) mar HYPOTHESIS bunaithe ar iompar breathnaithe; Ceangail gach hipitéis le táscaire nithiúil. Diagnóis chinntitheach teaghlaigh a thabhairt; Déan liosta de na céimeanna fíoraithe dinimiciúla. Déan trácht ach go cosantach.
Tá an t-aschur úsáideach agus eiticiúil de bharr a bheith ag brath ar bhreathnóireacht, an “hipitéis,” an chéim fíoraithe, agus an srian cosantach.
Tábla sraitheanna anailíse
ciseal
cad a fheiceann
Ranníocaíocht AI
fíorú
statach
Teaghráin, struchtúr, API
Marcáil táscaire amhrasach
iniúchadh láimhe
Dinimiciúla
iompar oibre
Achoimre logáil, tátal IOC
breathnóireacht bosca gainimh
Líonra (PCAP/sreabhadh)
patrúin tráchta
Aimhrialtacht/marcáil rabhcháin
Deimhniú bunlíne
comhghaol
ilfhoinse
imlíne insinte
trasfhianaise
Botúin choitianta
- Tá sé cinntitheach ag glacadh le diagnóis statach. Ba cheart diagnóis teaghlaigh a dhearbhú trí iompar dinimiciúil.
- Cuardach a dhéanamh ar aimhrialtachtaí gan bunlíne. Gan gnáth-shainmhíniú a dhéanamh beidh gach rud dearfach bréagach.
- IOC a bhlocáil gan fíorú. Idircheapann IOC Bréagach trácht dlisteanach; deimhnigh.
- Ionsaí ón AI a tháirgeadh/a iarraidh. Úsáid neamhúdaraithe; cosaint agus fíorú amháin.
- Rith an lotnaid gan insliú. Déantar anailís dhinimiciúil i gcónaí i mbosca gainimh scoite.
Go hachomair
Nochtann drochearraí agus anailís fhóiréinseach líonra croí teicniúil teagmhais. AI; Cuireann sé dlús mór le triáis teaghrán, anótáil script/macra, eastóscadh IOC, agus comhartha aimhrialtacht líonra. Ach is hipitéis é diagnóis; is obair dhaonna iad anailís dhinimiciúil, bonnlíne agus fíorú IOC. Agus is tábhachtaí fós: tá an fhaisnéis seo le haghaidh cosanta, scrúdú údaraithe, agus fíorú fianaise amháin - ní le haghaidh rochtana neamhúdaraithe nó forbairt ionsaí riamh.
Tasc feidhmchláir
Socraigh cás script/macra-anótáil i dtimpeallacht shábháilte, iargúlta (nó ar chás samhailteach). Cuir na teimpléid "script/macra tuairisc" agus "tátal IOC" i bhfeidhm; Ceangail agus fíoraigh gach IOC a sleachta AI chuig an bhfoinse. Ansin déan iarracht patrún beacon a aimsiú leis an bpatrún "Marcáil aimhrialtacht Líonra" i logáil seisiún samplach agus deimhnigh leis an mbunlíne.
seicliosta
- [ ] Rinne mé an anailís chun críocha athbhreithnithe cosanta/údaraithe amháin.
- [ ] Chaith mé an diagnóis mar hipitéis agus dheimhnigh mé é le hiompar dinimiciúil.
- [ ] Ní raibh ach an malware ar siúl agam i mbosca gainimh scoite.
- [ ] Léirmhínigh mé na haimhrialtachtaí líonra i gcoibhneas leis an mbunlíne.
- [ ] Cheangail mé gach IOC leis an bhfoinse agus dheimhnigh mé roimh bhlocáil.