Gnóthachain:
- A thuiscint go gcuireann intleacht shaorga dlús le freagairt teagmhais le hachoimriú fianaise, bunú amlíne, sórtáil bunchúiseanna agus dréachtú leabhair súgartha, ach is leis an bhfoireann údaraithe an cinneadh a dhéanamh aonrú/glasáil/dúnadh/fógra a dhéanamh.
- Cumas chun roghanna srianta a mheas i dtéarmaí tionchair agus inchúlaitheacht gnó agus gan bonneagar ríthábhachtach a leithlisiú gan a thionchar a thomhas
- Cumas a thuiscint nach féidir le luas aisghabhála caomhnú fianaise (íomhá fhóiréinseach, slabhra fianaise) a shárú agus nach féidir céimeanna fóiréinseacha a aistriú go hintleachta saorga
Nuair a bhriseann eachtra slándála, is é an t-am an namhaid. De réir mar a thosaíonn ransomware ag scaipeadh, ciallaíonn sé go ndéantar níos mó meaisíní a chriptiú gach nóiméad; Nuair a chuirtear cuntas i gcontúirt, déanann an t-ionsaitheoir tochailt níos doimhne gach nóiméad. Is éard atá i bhfreagra teagmhais (IR go gearr) an próiseas chun teagmhas slándála a bhrath, é a theorannú, é a ghlanadh agus a chur ar ais ina gnáthriocht. Éilíonn IR cinntí a dhéanamh faoi bhrú, le faisnéis neamhiomlán, agus leis an gclog ag tic; Sin go díreach an fáth go gcaithfidh sé a bheith tapa agus disciplínithe.
Tugann AI luas an-luachmhar chuig IR: déanann sé achoimre tapa ar fhianaise scaipthe (logaí, foláirimh, sonraí EDR), bunaíonn sé amlíne imeachta, áiríonn sé an bhunchúis a d’fhéadfadh a bheith ann, táirgeann sé dréachtleabhar súgartha (treoir idirghabhála céim ar chéim réamhshainithe) agus leagann sé amach an tuarascáil iar-idirghabhála. Ach is iad na cinntí is tábhachtaí in IR - córas a leithlisiú ón líonra, cuntas a ghlasáil, freastalaí a mhúchadh, fianaise a scriosadh nó a chaomhnú - ná cinntí is féidir a bheith inchúlaithe, a chuireann isteach ar ghnó agus a mbíonn tionchar acu ar phróisis bhreithiúnacha. Ní féidir iad seo a tharmligean chuig AI. Is inneall anailíse agus dréachtaithe é AI in IR; Is leis an bhfoireann freagartha inniúil atá an cinneadh maidir le haonrú, glasáil, dúnadh agus fógra a thabhairt.
Céimeanna freagartha teagmhais
Sé chéim is ea creat coiteann sa tionscal (bunaithe ar NIST). Ag gach céim, tá cabhair agus teorainn AI difriúil:
- Ullmhúchán: Tá leabhair súgartha, róil, plean cumarsáide réidh roimh ré. Cuidíonn AI le leabhair súgartha agus cásanna druileála a tháirgeadh - roimh an imeacht, seachas faoi láthair.
- Brath & anailís: Fíoraítear an t-imeacht agus cinntear a raon feidhme. Déanann AI achoimre ar an bhfianaise, bunaíonn sé amlíne, agus liostaíonn sé hipitéisí bunchúiseanna. Is faoin anailísí atá an cinneadh.
- Srianadh: Cuirtear stop leis an scaipeadh (aonrú, glas cuntais). Baineann an cinneadh ríthábhachtach seo le daoine; Ní liostaíonn AI ach roghanna agus a n-éifeachtaí.
- Díothú: Glantar cuntais mhailíseacha, chúldhoras, faoi chontúirt. Táirgeann AI seicliosta; tá cur i bhfeidhm agus fíorú daonna.
- Aisghabháil: Déantar córais a aisghabháil agus déantar monatóireacht orthu ar bhealach rialaithe. Molann an AI plean monatóireachta.
- Ceachtanna foghlamtha: Bunchúis, amlíne, feabhsú. Cuireann AI dréacht-tuarascálacha agus moltaí feabhsúcháin ar fáil; Tá sé ar an bhfoireann formheasa.
Téarmaí: EDR (Braith agus Freagairt Endpoint — bogearraí a ritheann ar chríochphointí, i.e. ríomhairí, agus ar féidir leo iompar amhrasach a bhrath agus freagairt dó). Is é an bhunchúis ná pointe tosaigh iarbhír an imeachta ("Conas a fuair siad isteach sa chéad áit?"). Is éard is slabhra coimeádta ann ná taifead gan bhriseadh ar cé, conas agus cathain a bailíodh fianaise fhóiréinseach; Tá sé ríthábhachtach sa phróiseas dlíthiúil. Is é MTTR (Mean Am le Freagairt) an tomhas ar fheidhmíocht na foirne CT.
Tábla údaráis chinnidh
Gníomh IR
Ról AI
Cé a chinneann
Cén fáth
Achoimriú fianaise, amlíne
léiritheoir, luasaire
Deimhníonn anailísí
Riosca siabhránachtaí
hipitéis bunchúis
Sórtálaí, moladh
anailísí
Comhthéacs agus fianaise ag teastáil
Dréachtleabhar súgartha (roimhe seo)
gineadóir sceitse
Deimhníonn ceannaire IR
Infheidhmeacht
Leithlisigh an córas
Liostaíonn roghanna amháin
anailísí údaraithe
Briseadh gnó, filleadh
Frithdhúnadh cuntais
Tugann anailís tionchair
anailísí údaraithe
Cuireann glas mícheart stop leis an obair
Scriosadh/caomhnú fianaise
Warns, moltaí
IR ceannaire + dlí
Tá tionchar ag an bpróiseas breithiúnach
Fógra dlíthiúil/rialála
dréachtscríbhneoir
Dlí + bainistíocht
Dliteanas dlíthiúil
trí chás mion
Cás 1 - Achoimre thapa faoi bhrú. Tagann foláireamh ransomware isteach ag 2:40 am. Tugann an anailísí EDR agus logaí balla dóiteáin (trí anaithnideacht) do AI. Tógann AI líne ama gach 90 soicind: "Osclaíodh ceangaltán fioscaireachta 01:55, íoslódáladh 02:10 PowerShell, cuireadh tús le gluaiseacht cliathánach 02:30, cuireadh isteach ar 3 mheaisín." Deimhníonn an t-anailísí an slabhra seo leis an taifead amh EDR, leithlisíonn sé na 3 mheaisín lena mbaineann dá rogha féin, agus stopann sé an scaipeadh. Laghdaigh AI 20 nóiméad den léamh fianaise go 90 soicind; Rinne an anailísí an cinneadh leithlisithe.
Cás 2 — Moladh leithlisithe mícheart. I gcás amháin, deir an AI, “Tá trácht ó IC_HOST_7 amhrasach, scoite amach.” Seiceálann an anailísí an comhthéacs: is é IC_HOST_7 príomhfhreastalaí fíordheimhnithe na heagraíochta; Má tá sé scoite amach, stopann gach fostaí ag dul isteach. Thairis sin, is cúltaca dlisteanach é an chúis atá leis an trácht. Ní dhéanann an anailísí aonrú, mar mhalairt air sin ní dhéanann sé ach monatóireacht ar an nasc amhrasach. Ceacht: Ní féidir moladh leithlisithe AI a chur i bhfeidhm gan an tionchar gnó a fhios; Maidir le bonneagar criticiúil, is cinneadh daonna go cúramach é.
Cás 3 — Fianaise a scriosadh de thaisme. D'iarr foireann, i Rush a ghlanadh, an AI "conas a ghlanfaidh mé an meaisín seo go tapa?" iarrann sé; Tairgeann an AI an córas a athshuiteáil. Ach tá fianaise fhóiréinseach sa mheaisín (dumpáil chuimhne, uirlisí ionsaitheoir) nár bailíodh fós; scriosfadh athshuiteáil an slabhra fianaise. Cinntíonn an t-anailísí sinsearach ar dtús go dtógtar an íomhá (cóip fhóiréinseach) agus ansin é a ghlanadh. Ceacht: ní féidir le luas an athshlánaithe caomhnú na fianaise a shárú; ní tharmligtear céimeanna breithiúnacha chuig an AI.
Leid lag / Pras láidir
Leid lag:
Tá ionsaí ransomware ann, cad ba cheart dom a dhéanamh? Cé na meaisíní ba chóir dom a mhúchadh?
Iarrann an leid seo ar an AI cinneadh oibríochta díreach a dhéanamh (cén meaisín atá le múchadh), ní thugann sé comhthéacs, gan aon tionchar gnó, agus gan aon fhianaise. Tugann an AI treoir ghinearálta nó riosca; Má chuirtear i bhfeidhm go dall é, stopfar an obair nó imeoidh an fhianaise.
Leid chumhachtach:
Do ról: cúntóir ag soláthar ANAILÍS agus ROGHANNA don fhoireann freagartha teagmhais. Ná déan cinneadh; ná hordú "an meaisín sin a mhúchadh/a leithlisiú", níl le déanamh ach liosta a dhéanamh de na roghanna agus an tionchar a d'fhéadfadh a bheith ag gach ceann acu. Próiseáil an fhianaise anaithnid seo a leanas: [EDR/achoimre loga]. Do thasc: (1) tóg amlíne imeachtaí dóchúla, taispeáin an fhianaise ar a mbunaíonn tú gach céim, marcáil an ceann gan bhunús mar "[ní mór é a fhíorú]", (2) liostaigh 3 hipitéis bhunchúise, scríobh conas gach ceann díobh a thástáil, (3) liostaigh ROGHANNA srianta (aonrú, monatóireacht, riosca frithdhúnadh); fág an cinneadh dom,(4) meabhraigh dom cad iad na céimeanna is gá chun fianaise a chaomhnú ROIMH leithlisiú.
Cuireann éileamh láidir teorainn le AI mar sholáthraí roghanna, ceanglaíonn sé é le fianaise, leagann sé béim ar thionchar gnó agus caomhnú fianaise, agus fágtar an cinneadh faoi dhaoine.
Teimpléid leid ar féidir a chóipeáil
TEIMPLÉAD AMHLÍTHE IMEACHTA Déan amlíne um imeacht croineolaíoch ón bhfianaise IR anaithnid seo. Gach líne: [am] [imeacht] [foinse fianaise]. Céim a chur leis gan stampa ama nó cruthúnais; marcáil an bán mar "[ar iarraidh - ní mór é a bhailiú]". Cinneadh/moladh, rangú bunaithe ar fhianaise amháin. Fianaise: [greamaigh]
ROOT CAUSE HYPOTHESIS TEMPLATEG Gin 3-5 hipitéis bhunchúis is dóichí don imeacht seo. Maidir le gach hipitéis: (1) an fhianaise ar a bhfuil sé bunaithe, (2) fianaise bhreise le bailiú chun é a dhearbhú, (3) aon rianta eile a bhfuiltear ag súil leis más fíor é. Ná dearbhaigh aon cheann acu áirithe; Bain úsáid as teanga dóchúlachta. Achoimre ar an imeacht: [greamaigh]
ROGHANNA CONARTHA TEIMPLÉADListigh na ROGHANNA srianta don chás seo a leanas (aonraigh / monatóir / glasáil / deighleog). I gcás GACH rogha: tionchar gnó, deacracht maidir le filleadh, tionchar ar fhianaise, riosca fóiréinseach. Ná tabhair orduithe dom; Déanfaidh mé an cinneadh. Tá sé oiriúnach go háirithe má tá bonneagar ríthábhachtach (aitheantas, DNS, cúltaca) i gceist. Stádas: [greamaigh]
DRÉACHT-THÉIMPEALLACHT LEABHAR IMIRCE (ullmhúchán réamhimeachta)Chun an cás seo a leanas [m.sh. comhréiteach ríomhphost oibre] scríobh leabhar cluiche idirghabhála céim ar chéim: truicear, róil, srianadh, scrios, aisghabháil, teagmháil, céimeanna fógra. Cuir seicmharc "[ceadú daonna]" in aice le gach cinneadh ríthábhachtach. Ní thagann an dréacht seo i bhfeidhm gan cead a fháil ó cheannaire an IR.
Botúin choitianta
- Lig do AI cinntí oibríochtúla a dhéanamh. Baineann an cheist “Cén meaisín ar cheart dom a mhúchadh” leis an bhfoireann a bhfuil eolas acu ar an tionchar gnó, ní leis an AI; Ní thairgeann AI ach rogha agus tionchar.
- Fianaise a ghlanadh gan í a bhailiú. Tá sé do-aisiompaithe fianaise fhóiréinseach a scriosadh ar mhaithe le luas; Dumpáil an íomhá agus an chuimhne roimh leithlisiú/glanadh.
- An amlíne a iompórtáil isteach sa tuarascáil gan í a bhailíochtú. Is féidir le AI an slabhra imeachtaí a dhéanamh; Deimhnigh gach céim le fianaise amh.
- Bonneagar criticiúil a leithlisiú gan smaoineamh. Is féidir stop a chur leis an eagraíocht ar fad má dhéantar aonrú, DNS, freastalaí cúltaca; an éifeacht a thomhas ar dtús.
- An Playbook a scríobh den chéad uair ag am na heachtra. Déantar leabhar súgartha le linn na céime ullmhúcháin; Cruthaíonn scaoll agus earráidí nuair a bhíonn tú ag iarraidh scríobh ón tús nuair a tharla an eachtra.
Leid: I IR, inis an AI i gcónaí "liosta na roghanna agus a n-éifeachtaí, lig dom cinneadh a dhéanamh." Déanann an abairt aonair seo an AI ó “uathphíolótach” contúirteach go “comhairleoir” sábháilte.
Aire: Is féidir iarmhairtí do-aisiompaithe a bheith ag aonrú córas, cuntas a ghlasáil nó fianaise a scriosadh agus cur isteach ar phróisis bhreithiúnacha/dlíthiúla. Déantar na cinntí sin le faomhadh na foirne freagartha údaraithe agus, nuair is gá, le ceadú na foirne dlí agus na bainistíochta; Is moladh é an t-aschur AI, ní ordú.
Go hachomair
Teastaíonn cinnteoireacht sciobtha agus disciplínithe mar fhreagra ar theagmhais faoi bhrú agus leis an gclog ag tic. Méadaíonn AI an luas seo go mór le hachoimriú fianaise, tógáil amlíne, sórtáil bunchúiseanna, agus dréachtú leabhar súgartha. Ach is cinntí do-aisiompaithe iad na gníomhartha is tábhachtaí de chuid IR - leithlisiú, frithdhúnadh cuntas, múchadh córais, scriosadh/caomhnú fianaise, fógra dlíthiúil - as a dtagann briseadh gnó agus iarmhairtí dlíthiúla agus ní féidir iad a tharmligean chuig an AI. I ngach ceann de na sé chéim (ullmhú, braite, srianadh, scrios, tarrtháil, ceacht), táirgeann AI anailís agus treoirphlean; Is leis an bhfoireann údaraithe an cinneadh. Dhá riail órga: glan an fhianaise gan í a chaomhnú, aonraigh bonneagar criticiúil gan a thionchar a thomhas.
Tasc feidhmchláir
Roghnaigh cás cás (m.sh. táthcheangal cuntais tar éis fioscaireachta). Tabhair breac-chuntas ar anailís ó AI le teimpléid “Amlíne Imeachta” agus “Hipitéis Bunchúise”; Scríobh síos an fhianaise a úsáidfidh tú chun gach céim den amlíne a fhíorú. Ansin, leis an teimpléad “Rogha a Theorannú”, a luaithe a bheidh trí rogha teorannaithe agat, déan measúnú ar an tionchar gnó a bheidh ag gach ceann díobh féin agus tabhair faoi deara cén ceann a roghnófá agus cén fáth (agus cad a dhéanfá ar dtús chun fianaise a chaomhnú).
seicliosta
- [ ] Chuir mé teorainn leis an AI mar fhreastalaí rogha/anailíse; Rinne mé an cinneadh oibriúcháin.
- [ ] D'fhíoraigh mé gach céim den amlíne le fianaise amh, ag baint úsáide as monarú.
- [ ] Phleanáil mé an bailiú fianaise (íomhá, dumpáil chuimhne) céim roimh leithlisiú/glanadh.
- [ ] Thomhais mé ar dtús tionchar gnó an leithlisithe ar bhonneagar criticiúil.
- [ ] Chaith mé hipitéisí bunchúiseanna mar fhéidearthachtaí chun tástáil a dhéanamh orthu, ní mar rud críochnaitheach.
- [ ] D'ullmhaigh mé an Playbook roimh an imeacht agus chuir mé faoi bhráid cheannaire an IR é lena cheadú.
- [ ] Chuir mé faomhadh dlíthiúil/riaracháin san áireamh i gcásanna ina dteastaíonn fógra dlíthiúil.