ઘટના પ્રતિસાદ: કૃત્રિમ બુદ્ધિ સાથે ઝડપી વિશ્લેષણ, પ્લેબુક અને નિયંત્રિત નિર્ણય

નફો:

• સમજવું કે આર્ટિફિશિયલ ઇન્ટેલિજન્સ પુરાવાના સારાંશ, સમયરેખા સ્થાપના, રુટ કોઝ સોર્ટિંગ અને પ્લેબુક ડ્રાફ્ટિંગ સાથે ઘટના પ્રતિભાવને વેગ આપે છે, પરંતુ અલગ/લૉક/ક્લોઝ/સૂચિત કરવાનો નિર્ણય અધિકૃત ટીમનો છે.
• વ્યવસાયિક અસર અને ઉલટાવી શકાય તેવા સંદર્ભમાં નિયંત્રણ વિકલ્પોનું મૂલ્યાંકન કરવાની ક્ષમતા અને તેની અસરને માપ્યા વિના નિર્ણાયક ઈન્ફ્રાસ્ટ્રક્ચરને અલગ ન કરવાની ક્ષમતા
• એ સમજવાની ક્ષમતા કે પુનઃપ્રાપ્તિની ઝડપ પુરાવાની જાળવણી (ફોરેન્સિક ઇમેજ, પુરાવાની સાંકળ)ને દૂર કરી શકતી નથી અને ફોરેન્સિક પગલાંને આર્ટિફિશિયલ ઇન્ટેલિજન્સ પર ટ્રાન્સફર કરી શકાતા નથી.

જ્યારે કોઈ સુરક્ષા ઘટના તૂટી જાય છે, ત્યારે સમય દુશ્મન છે. જેમ જેમ રેન્સમવેર ફેલાવાનું શરૂ થાય છે, તેનો અર્થ એ છે કે દર મિનિટે વધુ મશીનો એનક્રિપ્ટ થાય છે; એકવાર એકાઉન્ટ સાથે ચેડા થઈ જાય, હુમલાખોર દર મિનિટે વધુ ઊંડો ખોદકામ કરે છે. આકસ્મિક પ્રતિભાવ (ટૂંકમાં IR) એ સુરક્ષા ઘટનાને શોધવા, તેને મર્યાદિત કરવા, તેને સાફ કરવા અને તેને સામાન્ય સ્થિતિમાં પરત કરવાની પ્રક્રિયા છે. IR ને દબાણ હેઠળ, અધૂરી માહિતી સાથે અને ઘડિયાળની ટિકીંગ સાથે નિર્ણયો લેવાની જરૂર છે; તેથી જ તે ઝડપી અને શિસ્તબદ્ધ બંને હોવું જોઈએ.

AI IR માટે અમૂલ્ય ગતિ લાવે છે: ઝડપથી વિખરાયેલા પુરાવા (લોગ, ચેતવણીઓ, EDR ડેટા) નો સારાંશ આપે છે, ઇવેન્ટની સમયરેખા સ્થાપિત કરે છે, સંભવિત મૂળ કારણની ગણતરી કરે છે, ડ્રાફ્ટ પ્લેબુક (પૂર્વ-વ્યાખ્યાયિત પગલું-દર-પગલાં માર્ગદર્શિકા) બનાવે છે અને હસ્તક્ષેપ પછીના અહેવાલની રૂપરેખા આપે છે. પરંતુ IR માં સૌથી મહત્વપૂર્ણ નિર્ણયો - નેટવર્કમાંથી સિસ્ટમને અલગ કરવી, એકાઉન્ટ લોક કરવું, સર્વર બંધ કરવું, પુરાવા કાઢી નાખવું અથવા સાચવવું - એવા નિર્ણયો છે જે ઉલટાવી શકાય તેવા હોઈ શકે છે, વ્યવસાયમાં વિક્ષેપ લાવી શકે છે અને ન્યાયિક પ્રક્રિયાઓને અસર કરી શકે છે. આને AI ને સોંપી શકાય નહીં. AI એ IR માં વિશ્લેષણ અને ડ્રાફ્ટિંગ એન્જિન છે; આઇસોલેશન, લોકીંગ, ક્લોઝર અને નોટિફિકેશન અંગેનો નિર્ણય સક્ષમ પ્રતિભાવ ટીમનો છે.

ઘટના પ્રતિભાવના તબક્કા

ઉદ્યોગમાં એક સામાન્ય માળખું (NIST પર આધારિત) છ તબક્કાઓ છે. દરેક તબક્કે, AI ની મદદ અને મર્યાદા અલગ છે:

1. તૈયારી: પ્લેબુક, ભૂમિકાઓ, સંચાર યોજના અગાઉથી તૈયાર છે. AI પ્લેબુક્સ અને ડ્રિલ દૃશ્યો બનાવવામાં મદદ કરે છે — ઘટના પહેલાં, આ ક્ષણને બદલે.
2. તપાસ અને વિશ્લેષણ: ઘટનાની ચકાસણી કરવામાં આવે છે અને તેનો વિસ્તાર નક્કી કરવામાં આવે છે. AI પુરાવાઓનો સારાંશ આપે છે, સમયરેખા સ્થાપિત કરે છે અને મૂળ કારણની પૂર્વધારણાઓની યાદી આપે છે. નિર્ણય વિશ્લેષક પર છે.
3. નિયંત્રણ: ફેલાવો બંધ છે (અલગતા, એકાઉન્ટ લોક). આ નિર્ણાયક નિર્ણય મનુષ્યનો છે; AI માત્ર વિકલ્પો અને તેમની અસરોની યાદી આપે છે.
4. નાબૂદી: દૂષિત, બેકડોર, ચેડા કરાયેલા એકાઉન્ટ્સ સાફ કરવામાં આવે છે. AI ચેકલિસ્ટ બનાવે છે; અમલીકરણ અને ચકાસણી માનવીય છે.
5. પુનઃપ્રાપ્તિ: સિસ્ટમો પુનઃપ્રાપ્ત કરવામાં આવે છે અને નિયંત્રિત રીતે નિરીક્ષણ કરવામાં આવે છે. AI મોનિટરિંગ પ્લાનની ભલામણ કરે છે.
6. શીખ્યા પાઠ: મૂળ કારણ, સમયરેખા, સુધારણા. AI ડ્રાફ્ટ રિપોર્ટ્સ અને સુધારણા સૂચનો બનાવે છે; તે મંજૂરી ટીમમાં છે.

શરતો: EDR (એન્ડપોઇન્ટ ડિટેક્શન એન્ડ રિસ્પોન્સ — સોફ્ટવેર કે જે એન્ડપોઇન્ટ્સ પર ચાલે છે, એટલે કે કમ્પ્યુટર્સ, અને શંકાસ્પદ વર્તણૂકને શોધી અને જવાબ આપી શકે છે). મૂળ કારણ ઘટનાનું વાસ્તવિક પ્રારંભિક બિંદુ છે ("તેઓ પ્રથમ સ્થાને કેવી રીતે પ્રવેશ્યા?"). કસ્ટડીની સાંકળ કોણે, કેવી રીતે અને ક્યારે ફોરેન્સિક પુરાવા એકત્રિત કર્યા તેનો અવિરત રેકોર્ડ છે; કાનૂની પ્રક્રિયામાં તે મહત્વપૂર્ણ છે. MTTR (પ્રતિસાદ આપવાનો સરેરાશ સમય) એ IR ટીમની કામગીરીનું માપ છે.

નિર્ણય સત્તા ટેબલ

IR ક્રિયા

AI ની ભૂમિકા

કોણ નક્કી કરે છે

શા માટે

પુરાવા સારાંશ, સમયરેખા

નિર્માતા, પ્રવેગક

વિશ્લેષક પુષ્ટિ કરે છે

આભાસનું જોખમ

મૂળ કારણ પૂર્વધારણા

સોર્ટર, સૂચન

વિશ્લેષક

સંદર્ભ અને પુરાવા જરૂરી છે

પ્લેબુક ડ્રાફ્ટ (અગાઉ)

સ્કેચ જનરેટર

IR નેતા પુષ્ટિ કરે છે

પ્રયોજ્યતા

સિસ્ટમને અલગ કરો

માત્ર વિકલ્પોની યાદી આપે છે

અધિકૃત વિશ્લેષક

વ્યવસાયમાં વિક્ષેપ, વળતર

એકાઉન્ટ લોકઆઉટ

અસર વિશ્લેષણ આપે છે

અધિકૃત વિશ્લેષક

ખોટા તાળાથી કામ અટકી જાય છે

પુરાવા કાઢી નાખવું/જાળવણી

ચેતવણીઓ, સૂચનો

IR નેતા + કાયદો

ન્યાયિક પ્રક્રિયાને અસર થાય છે

કાનૂની/નિયમનકારી સૂચના

ડ્રાફ્ટ લેખક

કાયદો + વ્યવસ્થાપન

કાનૂની જવાબદારી

ત્રણ નાના કેસો

કેસ 1 - દબાણ હેઠળ ઝડપી સારાંશ. રેન્સમવેર એલર્ટ સવારે 2:40 વાગ્યે આવે છે. વિશ્લેષક AI ને EDR અને ફાયરવોલ લોગ (અનામી કરીને) આપે છે. AI દર 90 સેકન્ડે એક સમયરેખા બનાવે છે: "01:55 ફિશિંગ જોડાણ ખુલ્યું, 02:10 PowerShell ડાઉનલોડ થયું, 02:30 લેટરલ મૂવમેન્ટ શરૂ થયું, 3 મશીનો પ્રભાવિત થયા." વિશ્લેષક કાચા EDR રેકોર્ડ સાથે આ સાંકળની પુષ્ટિ કરે છે, તેની વિવેકબુદ્ધિથી 3 અસરગ્રસ્ત મશીનોને અલગ કરે છે અને ફેલાવાને અટકાવે છે. AI એ પુરાવા વાંચવાની 20 મિનિટ ઘટાડીને 90 સેકન્ડ કરી; વિશ્લેષકે એકલતાનો નિર્ણય લીધો.

કેસ 2 — ખોટી અલગતા ભલામણ. એક કિસ્સામાં, AI કહે છે, "IC_HOST_7 માંથી ટ્રાફિક શંકાસ્પદ છે, અલગ છે." વિશ્લેષક સંદર્ભ તપાસે છે: IC_HOST_7 એ સંસ્થાનું મુખ્ય પ્રમાણીકરણ સર્વર છે; જો અલગ હોય, તો બધા કર્મચારીઓ પ્રવેશવાનું બંધ કરે છે. વધુમાં, ટ્રાફિકનું કારણ કાયદેસર બેકઅપ છે. વિશ્લેષક અલગ પાડતા નથી, વૈકલ્પિક રીતે માત્ર શંકાસ્પદ લિંક પર નજર રાખે છે. પાઠ: AI ની આઇસોલેશન ભલામણને વ્યવસાયની અસર જાણ્યા વિના લાગુ કરી શકાતી નથી; જટિલ ઈન્ફ્રાસ્ટ્રક્ચર માટે, નિર્ણય કાળજીપૂર્વક માનવીય છે.

કેસ 3 - આકસ્મિક રીતે પુરાવાનો નાશ કરવો. એક ટીમ, સાફ કરવા માટે ઉતાવળમાં, એઆઈને પૂછ્યું "હું આ મશીનને ઝડપથી કેવી રીતે સાફ કરી શકું?" તે પૂછે છે; AI સિસ્ટમને ફરીથી ઇન્સ્ટોલ કરવાની ઑફર કરે છે. પરંતુ મશીનમાં ફોરેન્સિક પુરાવા (મેમરી ડમ્પ, હુમલાખોર સાધનો) છે જે હજુ સુધી એકત્રિત કરવામાં આવ્યા નથી; પુનઃસ્થાપન પુરાવાની સાંકળનો નાશ કરશે. વરિષ્ઠ વિશ્લેષક પહેલા ખાતરી કરે છે કે છબી (ફોરેન્સિક કોપી) લેવામાં આવી છે અને પછી તેને સાફ કરે છે. પાઠ: પુનઃપ્રાપ્તિની ઝડપ પુરાવાની જાળવણીને ટાળી શકતી નથી; ન્યાયિક પગલાં AI ને સોંપવામાં આવતા નથી.

નબળા પ્રોમ્પ્ટ / મજબૂત પ્રોમ્પ્ટ

નબળા પ્રોમ્પ્ટ:

રેન્સમવેર એટેક છે, મારે શું કરવું જોઈએ? મારે કયા મશીનો બંધ કરવા જોઈએ?

આ પ્રોમ્પ્ટ એઆઈને ડાયરેક્ટ ઓપરેશનલ નિર્ણય માટે પૂછે છે (કયું મશીન બંધ કરવું), કોઈ સંદર્ભ, કોઈ વ્યવસાય અસર અને કોઈ પુરાવા નથી. AI સામાન્ય અથવા જોખમી સૂચના આપે છે; જો આંખ આડા કાન કરવામાં આવે તો કામ બંધ થઈ જશે અથવા પુરાવા અદૃશ્ય થઈ જશે.

શક્તિશાળી પ્રોમ્પ્ટ:

તમારી ભૂમિકા: ઘટના પ્રતિભાવ ટીમને વિશ્લેષણ અને વિકલ્પો પ્રદાન કરનાર સહાયક. નિર્ણય ન લો; "તે મશીનને બંધ/અલગ કરો" નો ઓર્ડર આપશો નહીં, ફક્ત વિકલ્પો અને દરેકની સંભવિત અસરની સૂચિ બનાવો. નીચેના અનામી પુરાવાઓ પર પ્રક્રિયા કરો: [EDR/લોગ સારાંશ].તમારું કાર્ય: (1) સંભવિત ઘટના સમયરેખા બનાવો, તમે દરેક પગલાને કયા પુરાવા પર આધાર રાખો છો તે બતાવો, "[ચકાસાયેલ હોવું જ જોઈએ]" તરીકે કોઈ આધાર વિના ચિહ્નિત કરો, (2) 3 મૂળ કારણની પૂર્વધારણાઓની સૂચિ, દરેકને કેવી રીતે ચકાસવું તે લખો, (3) સૂચિ નિયંત્રણ વિકલ્પો (દરેક વ્યવસાયને અલગ પાડો અને મોનિટરિંગ, જોખમને અલગ પાડો અને મોનિટરિંગ ડાઉન કરો); નિર્ણય મારા પર છોડો,(4) મને યાદ કરાવો કે અલગતા પહેલા પુરાવાને સાચવવા માટે કયા પગલાંની જરૂર છે.

મજબૂત માંગ AI ને વિકલ્પ પ્રદાતા તરીકે મર્યાદિત કરે છે, તેને પુરાવા સાથે જોડે છે, વ્યવસાયિક અસર અને પુરાવાની જાળવણી પર ભાર મૂકે છે અને નિર્ણય મનુષ્યો પર છોડી દે છે.

નકલ કરી શકાય તેવા પ્રોમ્પ્ટ નમૂનાઓ

ઇવેન્ટ સમયરેખા ટેમ્પલેટ આ અનામી IR પુરાવામાંથી કાલક્રમિક ઘટના સમયરેખા બનાવો. દરેક લીટી:[સમય] [ઘટના] [પુરાવાનો સ્ત્રોત]. ટાઇમસ્ટેમ્પ અથવા પુરાવા વિના પગલું ઉમેરવું; ખાલી જગ્યાને "[ગુમ થયેલ - એકત્રિત કરવી આવશ્યક છે]" તરીકે ચિહ્નિત કરો. નિર્ણય/ ભલામણ, માત્ર પુરાવાના આધારે રેન્કિંગ. પુરાવા: [પેસ્ટ]

રુટ કોઝ હાઈપોથીસીસ ટેમ્પલેટ આ ઘટના માટે 3-5 સંભવતઃ મૂળ કારણ પૂર્વધારણાઓ જનરેટ કરો. દરેક પૂર્વધારણા માટે: (1) પુરાવા કે જેના પર તે આધારિત છે, (2) તેની પુષ્ટિ કરવા માટે વધારાના પુરાવા એકત્રિત કરવા, (3) જો તે સાચું હોય તો અપેક્ષિત અન્ય કોઈ નિશાન. તેમાંના કોઈપણને ચોક્કસ જાહેર કરશો નહીં; સંભાવના ભાષાનો ઉપયોગ કરો. ઇવેન્ટનો સારાંશ: [પેસ્ટ કરો]

સંકોચન વિકલ્પ નમૂનો નીચેની પરિસ્થિતિ (અલગ / મોનિટર / લોક / સેગમેન્ટ) માટે નિયંત્રણ વિકલ્પોની સૂચિ બનાવો. દરેક વિકલ્પ માટે: વ્યવસાયની અસર, વળતરની મુશ્કેલી, પુરાવા પર અસર, ફોરેન્સિક જોખમ. મને આદેશ ન આપો; હું નિર્ણય લઈશ. જો જટિલ ઈન્ફ્રાસ્ટ્રક્ચર (ઓળખ, DNS, બેકઅપ) સામેલ હોય તો તે ખાસ કરીને યોગ્ય છે. સ્થિતિ: [પેસ્ટ]

પ્લેબુક ડ્રાફ્ટ ટેમ્પલેટ (પ્રી-ઇવેન્ટ તૈયારી)નીચેના દૃશ્ય માટે [દા.ત. work email compromise] એક પગલું-દર-પગલાં હસ્તક્ષેપ પ્લેબુક ડ્રાફ્ટ લખો: ટ્રિગર, ભૂમિકાઓ, નિયંત્રણ, વિનાશ, પુનઃપ્રાપ્તિ, સંપર્ક, સૂચના પગલાં. દરેક નિર્ણાયક નિર્ણયની બાજુમાં "[માનવ મંજૂરી]" ચેકમાર્ક મૂકો. આ ડ્રાફ્ટ IR નેતાની મંજૂરી વિના અમલમાં આવતો નથી.

સામાન્ય ભૂલો

• AI ને ઓપરેશનલ નિર્ણયો લેવા દો. પ્રશ્ન "મારે કયું મશીન બંધ કરવું જોઈએ" એ ટીમનો છે જે વ્યવસાયની અસરને જાણે છે, AIને નહીં; AI માત્ર પસંદગી અને પ્રભાવ પ્રદાન કરે છે.
• પુરાવા એકત્ર કર્યા વિના તેને સાફ કરવું. ઝડપ ખાતર ફોરેન્સિક પુરાવાનો નાશ કરવો એ બદલી ન શકાય તેવું છે; અલગતા/સફાઈ પહેલાં છબી અને મેમરીને ડમ્પ કરો.
• રિપોર્ટમાં સમયરેખાને માન્ય કર્યા વિના તેને આયાત કરવી. AI ઘટનાઓની સાંકળ બનાવી શકે છે; કાચા પુરાવા સાથે દરેક પગલાની પુષ્ટિ કરો.
• વિચાર્યા વિના જટિલ માળખાકીય સુવિધાઓને અલગ પાડવી. અલગ ઓળખ, DNS, બેકઅપ સર્વર સમગ્ર સંસ્થાને અટકાવી શકે છે; પ્રથમ અસર માપો.
• ઘટના સમયે પ્રથમ વખત પ્લેબુક લખી. પ્લેબુક તૈયારીના તબક્કા દરમિયાન બનાવવામાં આવે છે; ઘટના સમયે શરૂઆતથી લખવાનો પ્રયાસ કરવાથી ગભરાટ અને ભૂલો થાય છે.

ટીપ: IR માં, હંમેશા AI ને કહો "વિકલ્પો અને તેમની અસરોની યાદી આપો, મને નક્કી કરવા દો." આ એક વાક્ય એઆઈને ખતરનાક “ઓટોપાયલટ”માંથી સુરક્ષિત “સલાહકાર”માં ફેરવે છે.

સાવધાની: સિસ્ટમને અલગ પાડવી, એકાઉન્ટ લૉક કરવું અથવા પુરાવા કાઢી નાખવાથી અફર પરિણામો આવી શકે છે અને ન્યાયિક/કાનૂની પ્રક્રિયાઓને અસર કરી શકે છે. આ નિર્ણયો અધિકૃત પ્રતિસાદ ટીમની મંજૂરીથી લેવામાં આવે છે અને જ્યારે જરૂરી હોય ત્યારે, કાનૂની અને વ્યવસ્થાપન; AI આઉટપુટ એ એક સૂચન છે, ઓર્ડર નથી.

સારાંશમાં

ઘટનાના પ્રતિભાવ માટે દબાણ હેઠળ અને ઘડિયાળની ટિકીંગ સાથે ઝડપી અને શિસ્તબદ્ધ નિર્ણય લેવાની જરૂર છે. AI પુરાવાના સારાંશ, સમયરેખા નિર્માણ, મૂળ કારણ સૉર્ટિંગ અને પ્લેબુક ડ્રાફ્ટિંગ સાથે આ ઝડપને મોટા પ્રમાણમાં વધારે છે. પરંતુ IR ની સૌથી નિર્ણાયક ક્રિયાઓ-અલગતા, એકાઉન્ટ લોકઆઉટ, સિસ્ટમ શટડાઉન, પુરાવા કાઢી નાખવું/જાળવણી, કાનૂની નોટિસ-ઉલટાવી શકાય તેવા નિર્ણયો છે જે વ્યવસાયમાં વિક્ષેપ અને કાનૂની પરિણામો તરફ દોરી જાય છે અને AI ને સોંપી શકાતા નથી. છ તબક્કાઓમાંથી દરેકમાં (તૈયારી, શોધ, નિયંત્રણ, વિનાશ, બચાવ, પાઠ), AI વિશ્લેષણ અને બ્લૂ પ્રિન્ટ બનાવે છે; નિર્ણય અધિકૃત ટીમનો છે. બે સુવર્ણ નિયમો: પુરાવાને સાચવ્યા વિના તેને સાફ કરો, તેની અસરને માપ્યા વિના જટિલ માળખાને અલગ કરો.

એપ્લિકેશન કાર્ય

કેસનું દૃશ્ય પસંદ કરો (દા.ત. ફિશિંગ પછી એકાઉન્ટ ટેકઓવર). "ઇવેન્ટ ટાઈમલાઈન" અને "રુટ કોઝ હાઈપોથીસીસ" ટેમ્પ્લેટ્સ સાથે AI માંથી વિશ્લેષણની રૂપરેખા બનાવો; દરેક ટાઈમલાઈન સ્ટેપને ચકાસવા માટે તમે જે પુરાવાનો ઉપયોગ કરશો તે લખો. પછી, "મર્યાદિત વિકલ્પ" ટેમ્પલેટ સાથે, એકવાર તમારી પાસે ત્રણ મર્યાદિત વિકલ્પો હોય, પછી દરેકની વ્યવસાયિક અસરનું જાતે મૂલ્યાંકન કરો અને નોંધ કરો કે તમે કયો વિકલ્પ પસંદ કરશો અને શા માટે (અને પુરાવાને સાચવવા માટે તમે પહેલા શું કરશો).

ચેકલિસ્ટ

• [ ] મેં AI ને વિકલ્પ/વિશ્લેષણ સર્વર તરીકે મર્યાદિત કર્યું; મેં ઓપરેશનલ નિર્ણય લીધો.
• [ ] મેં સમયરેખાના દરેક પગલાને કાચા પુરાવા સાથે ચકાસ્યા, ફેબ્રિકેશનને નીંદણ કર્યું.
• [ ] મેં અલગતા/સફાઈ પહેલા પુરાવા સંગ્રહ (છબી, મેમરી ડમ્પ) પગલાંનું આયોજન કર્યું.
• [ ] મેં સૌપ્રથમ નિર્ણાયક ઈન્ફ્રાસ્ટ્રક્ચર માટે અલગતાની વ્યાપાર અસર માપી.
• [ ] મેં મૂળ કારણની પૂર્વધારણાઓને ચકાસવાની શક્યતાઓ તરીકે ગણી છે, નિર્ણાયક તરીકે નહીં.
• [ ] મેં ઇવેન્ટ પહેલા પ્લેબુક તૈયાર કરી અને તેને મંજૂરી માટે IR લીડરને સબમિટ કરી.
• [ ] કાનૂની સૂચના જરૂરી હોય તેવા કિસ્સાઓમાં મેં કાનૂની/વહીવટી મંજૂરીનો સમાવેશ કર્યો છે.