Gnóthachain:
- A thuiscint conas a thosaíonn fiach bagairtí le hipitéis intástáilte, ní le haláram, agus conas a chuidíonn hintleacht shaorga le hipitéis a ghiniúint agus le fiosrúchán a dhréachtú.
- Cumas a chur i bhfeidhm nach gciallaíonn an comhartha contrártha/neamhchoitianta atá aibhsithe ag hintleachta saorga rún mailíseach, agus nach mór an hipitéis a dhearbhú le fianaise amh.
- Cumas na huimhreacha teicniúla MITER ATT&CK agus aitheantais imeachtaí arna dtabhairt ag hintleachta saorga a fhíorú leis an bhfoinse oifigiúil agus deireadh a chur le sonraí teicniúla fabraice
Oibríonn monatóireacht slándála clasaiceach leis an loighic "fanacht leis an aláram, féach nuair a thagann sé". Ach déanann na hionsaitheoirí is contúirtí iarracht gan aláraim a ardú: úsáideann siad uirlisí dlisteanacha (ar a dtugtar “saothrú” air seo - is é sin, mí-úsáid a bhaint as uirlisí atá ann cheana féin ar an gcóras, mar PowerShell, WMI), bogann siad go mall, agus cuireann siad isteach ar ghnáththrácht. Sin an fáth a rugadh fiaigh bagairtí: gan fanacht le haláram, "dá mbeadh ionsaitheoir neamhbhraite i m'eagraíocht faoi láthair, cá mbeadh sé?" Ag cuardach rianta go réamhghníomhach leis an gceist: Tosaíonn fiach bagairtí le hipitéis, ní le haláram.
Tá faisnéis shaorga an-úsáideach in dhá áit i bhfiach bagairtí. Is é an chéad cheann ná giniúint hipitéise: tabhair teicníc ionsaí agus fiafraigh "Dá mba rud é gur úsáideadh an teicníc seo i mo institiúid, ar na logaí agus cén patrún a d'fhágfadh sé rian?" is féidir leat a iarraidh. Is é an dara ceann ná eastóscadh comhartha: féadann sé aird a tharraingt ar an rud annamh, asluiteach, "difriúil ó ghnáth" i sonraí móra. Ach níl a fhios ag AI cad atá gnáth do d'eagraíocht agus d'fhéadfadh sé titim isteach sa gaiste ag smaoineamh go bhfuil hipitéis "cruthaithe." I bhfiach bagairt, is comhpháirtí intinne agus scanóir é AI; Cinneann an sealgair (anailísí) an bhfaighidh an chreiche fíor-bhagairt agus an ndéanfar é seo a thuairisciú.
Céimeanna fiaigh bagairtí
- Hipitéis. Abairt nithiúil intástáilte: "D'fhéadfadh go mbeadh ionsaitheoir ag scanadh an líonra inmheánaigh le linn uaireanta neamhghnó le cuntas comhréiteach." Is féidir leat AI a úsáid le haghaidh ransú smaointe anseo.
- Sainaithin an fhoinse sonraí. Cén loga a chruthaíonn/a dhiúltaíonn an hipitéis? (Mar shampla, logaí balla dóiteáin agus DNS le haghaidh scanadh líonra, logaí aitheantais le haghaidh ardú pribhléide.)
- Dear an cheist. An cheist a chuardóidh an patrún spriocdhírithe (teanga cheist SIEM, KQL, SQL-mhaith). Cuidíonn AI le fiosrúcháin a dhréachtú; ach déanann tú athbhreithniú ar an gceist agus ritheann tú é.
- Sliocht an toradh. Scag an comhartha fíor ó na céadta aschur línte. Anseo déanann AI braisliú agus achoimre.
- Deimhnigh nó bréagnaigh. Deimhnigh le fianaise amh agus comhthéacs an bhfuil an rian a fuarthas fíor mailíseach nó neamhchiontach.
- Déan an toradh a dhoiciméadú agus déan cinneadh é. Tiontaigh an patrún iarbhír a fuarthas i riail bhrath buan; Má theip ar an hipitéis, taifead é sin freisin (is faisnéis é toradh diúltach freisin).
Téarmaí: TTP (Tactics, Teicnící, Nósanna Imeachta — patrún iompraíochta an ionsaitheora). Leabharlann áirimh agus dhoiciméadaithe de theicnící ionsaitheora is ea MITER ATT&CK (m.sh. T1078 “Cuntais Bhailí”); Soláthraíonn sé teanga choiteann i bhfiach bagairtí. IOC (Táscaire Sáraithe - droch-IP, hash, fearann). Is éard is torann bán (liosta bán/maith ar a dtugtar) ann ná gnáth-iompraíocht a aithníodh a íobairt chreiche.
Tábla cur chuige fiaigh bagairtí
Cur Chuige
pointe tosaigh
Ranníocaíocht AI
Aird
Fiach atá bunaithe ar hipitéis
"Dá mbeadh a leithéid d'ionsaitheoir ann..."
Giniúint hipitéis, cur síos ar phatrún
Ní fianaise í hipitéis
Fiach bunaithe ar IOC
Táscaire olc ar a dtugtar
IOCanna a mheaitseáil le logaí
Míthreoir sean/mícheart IOC
Fiach bunaithe ar TTP/ATT&CK
Teicníc (T-uimhir)
An teicníc a thiontú go patrún logála
Teicníc ≠ patrún singil
Fiach bunaithe ar aimhrialtacht
Diall staidrimh
Aibhsigh an t-asluiteach
Contrarian ≠ de mheon macánta
Anailís minicíochta cruachta
"Cad é an rarest?"
Teacht ar an ócáid annamh
Uathúla ≠ contúirteach
trí chás mion
Cás 1 - An rud neamhchoitianta a aimsiú. D'fhéadfadh sealgaire ceist a chur, "Cén próiseas ar an líonra inmheánach a ritheann ar na ríomhairí is lú ach a bhunaíonn an líon is mó naisc líonra?" bunaítear a hipitéis. Leagann an AI béim ar phatrún ó na sonraí próisis-nasctha gan ainm: tá próiseas darb ainm svchost32.exe, le feiceáil ar 2 mheaisín amháin, ag nascadh le 340 seoltaí seachtracha éagsúla. Scrúdaíonn an sealgair seo; Faigheann sé malware a dhéanann aithris ar an svchost.exe dlisteanach. AI scagtha an annamh; Rinne an sealgair an diagnóis agus an idirghabháil.
Cás 2 — An fiach teipthe (ach luachmhar). D'fhiafraigh sealgaire amháin "an bhféadfaí mais sonraí a íoslódáil le linn uaireanta neamhghnó?" bunaítear a hipitéis; Scríobhann AI an dréacht ceiste ábhartha. Toradh: 3 úsáideoir a íoslódáil san oíche, ach is oibrithe oifige thar lear an triúr acu agus oibríonn siad le linn uaireanta gnó mar gheall ar dhifríochtaí crios ama. Diúltaítear don hipitéis. Déanann an sealgaire é seo a dhoiciméadú mar "toradh diúltach" agus tugann sé faoi deara na 3 úsáideoir seo mar eisceachtaí le haghaidh fiach sa todhchaí. Fiú mar gheall ar an bhfiach nár éirigh linn, bhí aithne níos fearr againn ar an institiúid.
Cás 3 — Gaiste theicniúil bhréige. Iarrann sealgair ar AI "Conas a fhéachaim le haghaidh an teicníc T1055 i mo eagraíocht?" deir. Scríobhann an AI fiosrúchán diongbháilte agus dearbhú go “gineann T1055 an t-aitheantas imeachta seo a leanas”; ach tá aitheantas an imeachta a thug sé mícheart agus is fo-theicníc ATT&CK an tsamhail. Osclaíonn Avcı an taifead MITER ATT&CK, deimhníonn sé an tuairisc theicniúil agus na fíorfhoinsí logála, agus ceartaíonn sé an t-aitheantas imeachta mícheart. Ceacht: Fíoraigh gach mionsonraí teicniúil a thugann an AI (ID an imeachta, T-uimhir, réimse logála) leis an bhfoinse oifigiúil.
Leid lag / Pras láidir
Leid lag:
Faigh amach an bhfuil ionsaitheoir ar mo líonra.
Tá an t-éileamh seo saor ó hipitéis, saor ó shonraí, gan teorainn agus do-fhíoraithe. Táirgeann AI liosta ginearálta nó comhdhéanta; níl aon úsáid leis.
Leid chumhachtach:
Do ról: cúntóir a thugann smaointe agus imlíne don sealgaire bagairtí. Ná déan cinneadh, ná abair "tá bagairt ann". Mo hipitéis: "D'fhéadfadh cuntas comhréiteach a bheith ag scanadh calafoirt inmheánacha le linn uaireanta neamhghnó." Gin iad seo a leanas: (1) liostaigh na foinsí loga a chruthóidh agus NASCACH an hipitéis seo, (2) déan cur síos ar an bpatrún nithiúil a bheidh le cuardach (cé na réimsí, cad iad na tairseacha), (3) scríobh dréacht de cheist shamplach agus déan trácht ar gach líne, (4) scríobh síos cé na mínithe neamhchiontach a bhainfear as an toradh a bheidh mar thoradh air. Mol an teicníc MITER ATT&CK ábhartha, ach marcáil an T-uimhir agus ID an imeachta mar "[ní mór é a fhíorú ó MITER]", ná déan suas é.
Tosaíonn an t-éileamh láidir le hipitéis nithiúil, bunaítear cothromaíocht na fianaise/bréagnaithe, mínítear an cheist, agus fágtar na sonraí teicniúla le fíorú.
Teimpléid leid ar féidir a chóipeáil
TEimpléad giniúna hipitéisisFor m'institiúide [eintiteas: e.g. Gin hipitéisí seilge bagairtí inchosanta i gcomhthéacs [Eolaire Gníomhach / scamall / críochphointe]5. I gcás gach hipitéis: (1) cén iompar ionsaitheora a ndírítear air, (2) cén fhoinse loga a sholáthróidh fianaise/bréagnú, (3) an patrún a bhfuiltear ag súil leis. Déan abairtí intástála, ní abairtí ginearálta.
PATRÚN TEICNIÚCHÁIN Déanfaidh mé cuardach ar an teicníc ionsaithe seo a leanas i m'institiúid [ainm teicníochta]. Gin: (1) limistéir logála ina bhfágann an teicníc a rian de ghnáth, (2) patrúin agus tairseacha nithiúla le breathnú orthu, (3) cásanna neamhchiontach (dearfach bréagach) a d’fhéadfadh an patrún seo a spreagadh. Tairiscint uimhir T-MITRE ATT&CK ábhartha ach a bhfuil an bhratach "[Ní mór é a fhíorú ó MITER]"; ná tabhair ID/uimhir an teagmhais déanta.
DRÉACHT CHEISTEANNA Scríobh dréacht ceiste [SIEM/KQL/SQL] a lorgaíonn an patrún seo a leanas: [cur síos ar an bpatrún]. Déan trácht ar gach líne, mínigh cén réimse atá á scagadh agat agus cén fáth, agus marcáil rioscaí feidhmíochta. Déanfaidh mé athbhreithniú ar an gceist agus rithfidh mé é; ná glac leis go rithfidh tú é. Fág na hainmneacha páirce marcáilte "[ceart go scéimre]" de réir na scéime atá ar eolas agam.
TEIMPLÉAD A DHÍCHUR TORTHAÍ Thug toradh mo sheilg na línte seo a leanas (gan ainm): [greamaigh]. Déan iad a ghrúpáil, agus do gach grúpa scríobh (1) cás mailíseach, (2) ar a laghad 2 mhíniú neamhchiontach, agus (3) fianaise bhreise le lorg chun difreáil a dhéanamh. Cinnteoireacht; Ná lig dom scaradh leat. Marcáil "[gan bhunús]" d'éileamh nach bhfuil aon fhianaise ann.
Botúin choitianta
- Fiach gan hipitéisí. Ag rá “teacht ar rud éigin” cuireann sé brú ar an AI buille faoi thuairim a dhéanamh; Cuirtear tús leis an bhfiach le habairt nithiúil intástáilte.
- Hipitéis mar fhianaise a chur amú. Tá féidearthacht ag baint leis an bhfiach; Ní "bagairt" é an rian a fuarthas go dtí go ndeimhnítear é le fianaise amh.
- Go huathoibríoch ag smaoineamh ar a mhalairt mar olc. Is minic a bhíonn an duine neamhchoitianta/asluiteach neamhchiontach (cothabháil, bogearraí nua, post aonuaire); Sift leis an gcomhthéacs.
- Gan sonraí teicniúla a fhíorú. Is féidir le AI ID imeacht, T-uimhir agus réimse loga a mheaitseáil; Deimhnigh le MITER ATT&CK agus doiciméadú an táirge.
- An ghabháil amú a chaitheamh amach. Is é an toradh diúltach freisin eolas: cuireann sé aithne níos fearr ar an eagraíocht, ag laghdú rudaí dearfacha bréagacha sa todhchaí; doiciméad.
Leid: Ba cheart go mbeadh hipitéis seilge bagartha mhaith “tástála”: éileamh nithiúil a d’fhéadfadh a bheith fíor nó bréagach. "An bhfuil aon rud dona i mo líonra?" ní féidir é a thástáil; “Ar cheangail cuntas X le níos mó ná 50 IP inmheánach le linn uaireanta neamhghnó?” is féidir a thástáil.
Aird: Ní dhéantar fiach bagairtí ach amháin ar chórais a bhfuil tú údaraithe a dhéanamh. Iarracht ar rochtain neamhúdaraithe a fháil is ea iarraidh ar an AI eagraíocht eile, duine, nó líonra nach bhfuil cead agat a "scrúdú" agus atá lasmuigh den mhodúl seo.
Go hachomair
Is éard atá i bhfiach bagairtí ná rianta ionsaitheoir folaithe a chuardach go réamhghníomhach gan fanacht le haláram, agus tosaíonn sé le hipitéis, ní le haláram. Cuireann AI dhá ionchur chumhachtach ar fáil sa phróiseas seo: hipitéisí intástála agus dréachtaí fiosrúcháin a ghiniúint, agus comharthaí neamhchoitianta/asluiteacha a scagadh ó shonraí móra. Ach níl a fhios ag AI cad is gnách do d’eagraíocht, féadfaidh sé sonraí teicniúla a dhéanamh suas agus titim isteach sa gaiste maidir le hipitéis fianaise a chur amú. Mar sin tá sé chéim ag an bhfiach (hipitéis, sonraí, ceist, sliocht, fíorú, doiciméad) agus ag gach céim is é an sealgair an cinneadh. Contrártha ≠ olc, hipitéis ≠ fianaise, sonraí teicniúla tugtha ag AI ≠ ceart; go léir deimhnithe ag fianaise amh agus MITER ATT&CK.
Tasc feidhmchláir
Faigh 5 hipitéis seilge bagairtí ó AI leis an teimpléad “Hypothesis Generation” do d’eagraíocht féin (nó timpeallacht shamplach). Roghnaigh an ceann is intástála, dréacht fiosrúchán leis na teimpléid “Patrún Teicníc” agus “Dréacht Iarratas”, bailíochtaigh gach ró sa cheist agus gach T-uimhir mholta in MITER ATT&CK. Scríobh síos an toradh (ar deimhníodh, gur bhréagnaigh an hipitéis, cad a d'fhoghlaim tú) i nóta gearr fiaigh.
seicliosta
- [ ] Thosaigh mé mo sheilg le hipitéis nithiúil intástáilte.
- [ ] Tá foinsí loga aitheanta agam a chruthóidh agus a bhréagnóidh an hipitéis.
- [ ] Rinne mé athbhreithniú ar gach líne den dréacht ceiste agus chuir mé in oiriúint é do mo scéimre féin.
- [ ] D’fhíoraigh mé an teicníocht MITER ATT&CK atá beartaithe agus na haitheantais imeachta leis an bhfoinse oifigiúil.
- [ ] Dheimhnigh mé gach comhartha le fianaise amh agus comhthéacs; Níor mheas mé go huathoibríoch a mhalairt mar olc.
- [ ] Dhoiciméadaigh mé freisin an hipitéis a theip (is é an toradh diúltach faisnéis).
- [ ] Ní raibh mé ag seilg ach ar chórais a raibh mé údaraithe chun fiaigh a dhéanamh.