Gnóthachain:
- Cumas a thuiscint go ndéanann hintleachta saorga achoimre ar thuairiscí fada faoi bhagairt ar thrí leibhéal (straitéiseach, oirbheartaíochta, teicniúil) agus iad a mhapáil chuig MITER ATT&CK trí IOC agus TTP a bhaint amach.
- Cumas gach IOC a fhíorú le foinse neamhspleách reatha agus an dara foinse neamhspleách, gach teicníocht in ATT&CK agus IOC / teicníc / grúpa déanta as fabraic
- Cumas a thuiscint gurb é an leithroinnt grúpa an maíomh is baolaí, gur cheart an teanga ‘comhoiriúnach le teicníochtaí’ a úsáid in ionad ‘grúpa cruinn’ agus gur cheart an chosaint a bheith bunaithe ar chinneadh buan TTP.
Ní hamháin go ndéanann foireann slándála amháin na hionsaithe a fheiceann siad a chomhrac; foghlaimíonn sé trí eolas a roinnt ar ionsaithe ar fud an domhain. Is éard is faisnéis faoi bhagairt (TI go gairid) ann faisnéis a bhailítear, a phróiseáiltear agus a chuirtear i ngníomh faoi ionsaitheoirí, na huirlisí a úsáideann siad, a spriocanna agus a modhanna oibre. "Cén malware atá ag scaipeadh anois?", "Cén earnáil a bhfuil an grúpa ionsaithe seo ag díriú air agus conas a ghníomhaíonn sé?", "An bhfaca an seoladh IP seo in ionsaí roimhe seo?" Tagann na freagraí ar cheisteanna mar seo ó fhaisnéis bhagairt.
Is í an fhadhb atá ann go bhfuil faisnéis bhagairt flúirseach agus scaipthe: tuarascálacha, blaganna, fothaí, fóraim, na mílte IOCs. Tá an chumhacht ag AI ciall a bhaint as an gcruach seo: déanann sé achoimre ar thuairiscí fada ar bhagairtí, baintear amach IOC struchtúrtha agus TTP as insint ionsaí, mapálann sé iad chuig an gcreat MITER ATT&CK, agus fiafraíonn sé “an mbaineann sé seo linn?” ullmhaíonn an chéad dréacht den cheist. Ach is féidir le AI dearmad a dhéanamh ar fhaisnéis sean, mhíchruinn nó as comhthéacs mar fhaisnéis fíor, grúpa bagairtí nó IOC nach bhfuil ann, agus gan a fhios an bhfuil faisnéis fíor-bhailí do d'eagraíocht. Déanann AI achoimre, struchtúr agus léarscáiliú faisnéis; Is faoin anailísí atá sé bac a chur ar IOC, faisnéis a chur i bhfeidhm ar an ngníomhaireacht, agus tuarascáil a dhearbhú “inghníomhaithe”.
Sraitheanna faisnéise bagairtí
Breathnaítear ar fhaisnéis bhagairt ar thrí leibhéal:
- Teicniúil/oibríochtúil (leibhéal IOC): Táscairí nithiúla – droch-seoltaí IP, fearainn, hashes, URLanna. Tá sé gearr-chónaí (athraíonn an t-ionsaitheoir IP). Tá AI go tapa chun iad seo a bhaint as an tuarascáil agus iad a struchtúrú.
- Oirbheartaíochta (leibhéal TTP): Conas a iompraíonn an t-ionsaitheoir - cad iad na teicnící, na huirlisí, na modhanna a úsáideann sé. Tá sé níos buaine (is deacair iompar a athrú). Is é MITER ATT&CK comhtheanga an leibhéil seo.
- Straitéiseach: Cé atá ag díriú, cén fáth, cén earnáil, cén claonadh. Cothaíonn sé cinntí bainistíochta. Déanann AI tuarascálacha fada ag an leibhéal seo a achoimriú.
Téarmaí: IOC (Táscaire Comhréiteach - táscaire sárú, rian teicniúil nithiúil). TTP (Tactics, Teicnící, Nósanna Imeachta — patrún iompraíochta). MITER ATT&CK, leabharlann uimhrithe, doiciméadaithe de theicnící ionsaitheora (m.sh. T1566 "Iascaireacht"). APT (Ardbhagairt Mheanbhuan - grúpa ionsaitheora ardchéime, leanúnach, go minic stát-tionscanta). Feed, sruth IOC nuashonraithe go huathoibríoch. Mídhiadh, ionsaí a chur i leith an ghrúpa mícheart; Is é an botún faisnéise is coitianta.
Cairt luachála foinse faisnéise
critéar
ceist le cur
Cén fáth a bhfuil sé tábhachtach?
Reatha
Cathain a foilsíodh é? An bhfuil sé fós bailí?
Éiríonn IOCanna as feidhm go tapa
Iontaofacht foinse
Cé a d'fhoilsigh é, cén cháil atá air?
Go leor faisnéise bréagach/déanta
Ábharthacht
An ndíríonn sé orainn/ar ár dtionscal?
Ní hé gach bagairt do bhagairt
Infhíoraitheacht
An ndeimhníonn foinse eile é seo?
Ní leor foinse amháin
Inghníomhaitheacht
Cad is féidir liom a dhéanamh (bloc, rianú, glaoch)
Caithfidh eolas iompú ina ghníomh
Cruinneas lua
Cé chomh soladach is atá an dáileadh grúpa?
Cuirtear mídhiadh amú
trí chás mion
Cás 1 — Ó thuarascáil 40 leathanach go gníomh. Tá anailísí ag an AI tuarascáil bhagairt 40-leathanach faoi fheachtas ransomware nua a achoimriú. Laghdaíonn AI an tuarascáil go 1 leathanach, sliocht 32 IOC (IP, hash, fearann) agus 7 teicnící MITER ATT&CK, agus tugann sé faoi deara "tá an grúpa seo ag díriú ar do thionscal." Fíoraíonn an anailísí gach ceann de na IOCanna le dara foinse, cuireann sé an 21 atá fós bailí leis an liosta faire, deimhníonn sé uimhreacha ATT&CK na dteicnící, agus forbraíonn sé ina hipitéis seilge bagairtí é. Rinne an AI 40 leathanach inphróiseála; Ba leis an anailísí iad fíorú agus gníomh.
Cás 2 — Grúpa APT comhdhéanta. D'iarr anailísí ar AI "cén grúpa a rinne an t-ionsaí seo?" iarrann sé. Freagraíonn AI go muiníneach: "Is é seo an teicníc aitheanta den ghrúpa 'APT-Dark Eagle'." Féachann an t-anailísí an grúpa seo i bhfoinsí faisnéise bagairtí aitheanta - níl aon ghrúpa den sórt sin ann, is é an tsamhail atá déanta suas an t-ainm. Murar dheimhnigh sé é, bheadh an tuairisc imithe le sannadh mícheart. Ceacht: is é leithroinnt ghrúpa an t-éileamh is éasca agus is baolach a dhéanamh; Fíoraítear é i gcónaí le foinse aitheanta agus is minic a thugtar "ag luí leis na teicníochtaí seo a leanas" seachas "leithdháileadh beacht".
Cás 3 - Blocáil bhréagach le sean IOC. D'iarr foireann amháin ar an AI "nár cheart dúinn bac a chur ar" liosta IPanna a fuair sé ó thuarascáil míonna ó shin? iarrann sé; Deir an AI “tá, tá siad mailíseach.” Ach feiceann an anailísí go mbaineann ceann de na IPanna anois le soláthraí scamall dlisteanach (CDN); Ghearrfaí deireadh freisin le bac a chur ar an IP sin na seirbhísí dlisteanacha a fhaigheann an eagraíocht rochtain. Tá IOCanna gearrthéarmacha. Fíoraíonn an anailísí reathacht agus cuireann sé deireadh le cinn atá as dáta. Ceacht: Ní théann sé ar an mblocliosta go dtí go bhfíoraíonn an IOC a reathacht.
Leid lag / Pras láidir
Leid lag:
Cé a rinne an t-ionsaí seo agus cé na IPanna ar cheart dom bac a chur orthu? [tuairisc]
Iarrann an t-iarratas seo sannadh beacht agus cinneadh blocála díreach ón AI, ní iarrann sé tráthúlacht agus fíorú, tá sé oscailte don déantúsaíocht. Féadfaidh AI sannadh áititheach ach míchruinn agus liosta IOC atá as dáta a thabhairt.
Leid chumhachtach:
Do ról: cúntóir don anailísí ag ullmhú faisnéis bhagairt ACHOIMRE agus cumraíocht. Cinnteoireacht; Ná habair "bloc", ná déan tagairtí grúpa ar leith. Próiseáil an tuarascáil seo a leanas: (1) sliocht 1-leathanach achoimre (cé, cad, sprioc, modh), (2) liosta struchtúrtha IOCs (IP, fearann, hash, URL); "[ní mór reathacht agus foinse thánaisteach a fhíorú]" a mharcáil do gach ceann díobh; cuir IOC caochadán,(3) mapáil TTPanna le MITER ATT&CK ach marcáil gach T-uimhir "[deimhnigh in ATT&CK]",(4) ná habair "grúpa cruinn" don sannadh; Bain úsáid as an teanga "comhoiriúnach leis na teicníochtaí seo" agus luaigh neart na fianaise, (5) scríobh ceisteanna maidir le cén fáth a bhféadfadh an fhaisnéis seo a bheith i bhfeidhm ar ár dtionscal / ailtireacht. Tuairisc: [greamaigh]
Iarrann éileamh láidir struchtúr achoimre +, fágtar gach IOC/TTP le fíorú, cuireann sé cosc ar shannadh beacht, ceistíonn sé ábharthacht.
Teimpléid leid ar féidir a chóipeáil
TEIMPLÉADAÍ ACHOIMRE TUARASCÁIL Déan achoimre ar an tuarascáil bhagairt seo a leanas ag 3 leibhéal: (1) straitéiseach (cé, cén fáth, spriocearnáil), (2) oirbheartaíochta (TTPanna a úsáideadh), (3) teicniúil (cineálacha IOCanna). Ná téigh thar 1 leathanach. Ná cuir san áireamh aon éilimh nár bhain tú den tuarascáil; déantús.Tuairisc: [greamaigh]
Teimpléad Sliocht IOC Eisíonn sé IOCanna struchtúrtha as an téacs seo a leanas: cineál (IP/fearann/hash/URL/ríomhphost), luach, comhthéacs. Ná déan ach an méid atá ráite go soiléir sa téacs; feistiú. Seiceáil "[ní mór foinse reatha + thánaisteach a fhíorú]" le haghaidh gach IOC. Fíoraigh i bhfoirm tábla.Text: [greamaigh]
TEIMPLÉAD MEABHRÚCHÁIN ATT&CKMapáil na hiompraíochtaí san insint ionsaí chuig tactics agus teicnící MITER ATT&CK. I gcás gach léarscáilithe: luachan iompraíochta + ainm teicníochta molta +"[Ní mór T-uimhir a dhearbhú in ATT&CK]". Ná tabhair teicníc/uimhir chomhdhéanta; mura bhfuil tú cinnte, scríobh "[doiléir]". Aithris: [greamaigh]
Teimpléad MEASÚNAITHE ÁTHACHTACHTA Cuidigh liom a mheas an bhfuil an fhaisnéis bhagairt seo a leanas infheidhme maidir lenár n-eagraíocht: gin na ceisteanna cé acu dár sócmhainní atá ag teacht leis an sprioctheicneolaíocht/tionscal. Cinnteoireacht; Tabhair seicliosta dom. Achoimre faisnéise: [greamaigh]
Botúin choitianta
- Ag déanamh sannadh grúpa beacht. Is é an leithdháil an réimse is deacra agus is míthuiscint; In ionad "go díreach an grúpa sin", abair "ag luí leis na teicnící seo" agus deimhnigh leis an bhfoinse.
- An IOC a bhlocáil gan airgeadra a fhíorú. Tá IOCanna gearrthéarmacha; D’fhéadfadh go mbaineann sean IP le seirbhís dhlisteanach anois, seiceáil le haghaidh úire ar dtús.
- Ag muinín foinse amháin. Deimhnigh faisnéis leis an dara foinse neamhspleách; Tá go leor faisnéis bhréagach/déanta ann.
- Gan ábharthacht a cheistiú. Ní hé gach bagairt do bhagairt; Breathnaigh ar fhorluí tionscail, teicneolaíochta agus ailtireachta.
- Ag déanamh suas an IOC/teicníc/grúpa ag smaoineamh go bhfuil sé fíor. Is féidir le AI iad a oiriúnú go líofa; fíoraigh gach ceann ag an bhfoinse aitheanta agus MITER ATT&CK.
Leid: Is é an TTP, ní an IOC, an ciseal faisnéise bagairtí is marthanaí agus is luachmhaire. Athraíonn an t-ionsaitheoir a IP in aon lá amháin, ach tá sé deacair a patrún iompraíochta (TTP) a athrú. Tóg do chosaint ar bhrath TTP, ní ar bhlocáil IOC.
Aire: Má chuirtear IOC ar an mblocliosta, féadfar trácht dlisteanach a thascradh freisin (blocáil bhréagach dhearfach). Má chuirtear an mhéar ar ghrúpa, cuireann sé acmhainní amú sa treo mícheart. Is ionchur é faisnéis; Luíonn an cinneadh maidir le blocáil agus sannadh leis an anailísí tar éis an fhíoraithe.
Go hachomair
Cuireann faisnéis faoi bhagairt ar chumas na heagraíochta dul i ngleic ní ina haonar ach le taithí an domhain; ach toisc go bhfuil sé iomadúla, messy, agus athraitheach, tá gá le léiriú. Déanann AI achoimre ar thuairiscí fada ar thrí leibhéal (straitéiseach, oirbheartaíochta, teicniúil), sliocht IOC agus TTP, léarscáileanna chuig MITER ATT&CK agus soláthraíonn sé imlíne ábharthachta. Na rioscaí is mó: IOC/teicníc/grúpa comhdhéanta, sannadh cruinn ach bréagach, agus IOC as feidhm. Sin é an fáth go bhfuil gach IOC bailíochtaithe le sruth agus an dara foinse, fíoraítear gach teicníc in ATT&CK; déantar an tagairt sa teanga "ag luí le teicnící" agus ní "grúpa deifnídeach"; agus is faoi na hanailísí atá an cinneadh blocáil/forghníomhú. Is é croí na cosanta ná braite TTP buan, ní IOCanna gearrthéarmacha.
Tasc feidhmchláir
Faigh tuarascáil bhagairt phoiblí shamplach. Sliocht achoimre agus liosta struchtúrtha de IOCanna ó AI leis na teimpléid “Achoimriú Tuairisce” agus “Sliocht IOC”. Seiceáil airgeadra agus barántúlacht 5 cinn de na IOCanna ar fhoinse aitheanta; Déan iarracht IOC amháin ar a laghad atá as dáta nó amhrasach a fháil. Fíoraigh T-uimhreacha na dteicníochtaí a eisíodh leis an teimpléad "ATT&CK Matching" ar an suíomh MITER ATT&CK agus gabh uimhir bhréige/bhréagach más ann di.
seicliosta
- [ ] Rinne mé achoimre ar an tuarascáil ar thrí leibhéal (straitéiseach, oirbheartaíochta, teicniúil).
- [ ] Tá airgeadra agus dara foinse neamhspleách fíoraithe agam do gach IOC.
- [ ] Tá gach teicníc/cleas MITER ATT&CK fíoraithe agam sa fhoinse oifigiúil.
- [ ] Thug mé aghaidh ar an tagairt ghrúpa sa teanga "comhsheasmhach le teicnící" seachas "beacht".
- [ ] Cheistigh mé ábharthacht na faisnéise do m'institiúid (earnáil, teicneolaíocht, ailtireacht).
- [ ] Tá gach éileamh seiceáilte agam, agus fios agam go bhféadfadh sé a bheith comhdhéanta de IOC/teicníc/grúpa.
- [ ] Rinne mé an cinneadh blocáil agus cur i bhfeidhm mar anailísí tar éis an fhíoraithe.