થ્રેટ ઇન્ટેલિજન્સ: IOC, TTP, MITER ATT&CK અને આર્ટિફિશિયલ ઇન્ટેલિજન્સ સાથે સેન્સમેકિંગ

નફો:

• એ સમજવાની ક્ષમતા કે આર્ટિફિશિયલ ઇન્ટેલિજન્સ ત્રણ સ્તરો (વ્યૂહાત્મક, વ્યૂહાત્મક, ટેકનિકલ) પર લાંબા ખતરા અહેવાલોનો સારાંશ આપે છે અને IOC અને TTP કાઢીને તેમને MITER ATT&CK પર નકશા બનાવે છે.
• દરેક IOC ને વર્તમાન અને બીજા સ્વતંત્ર સ્ત્રોત સાથે ચકાસવાની ક્ષમતા, ATT&CK માં દરેક તકનીક અને બનાવટી IOC/તકનીક/જૂથ કાઢવાની ક્ષમતા
• જૂથ એટ્રિબ્યુશન એ સૌથી જોખમી દાવો છે તે સમજવાની ક્ષમતા, 'ચોક્કસ જૂથ' ને બદલે 'ટેકનિક સાથે સુસંગત' ભાષાનો ઉપયોગ થવો જોઈએ અને સંરક્ષણ કાયમી TTP નિર્ધારણ પર આધારિત હોવું જોઈએ.

એકલા સુરક્ષા ટીમ માત્ર તે જુએ છે તે હુમલાઓ સામે લડતી નથી; વિશ્વભરમાં હુમલાઓનું જ્ઞાન વહેંચીને શીખે છે. થ્રેટ ઇન્ટેલિજન્સ (ટૂંકમાં TI) એ હુમલાખોરો, તેઓ જે સાધનોનો ઉપયોગ કરે છે, તેમના લક્ષ્યો અને પદ્ધતિઓ વિશે એકત્રિત, પ્રક્રિયા અને ક્રિયામાં ફેરવાયેલી માહિતી છે. "હવે કયો માલવેર ફેલાઈ રહ્યો છે?", "આ હુમલાખોર જૂથ કયા સેક્ટરને લક્ષ્ય બનાવી રહ્યું છે અને તે કેવી રીતે કાર્ય કરે છે?", "શું આ IP સરનામું પહેલા કોઈ હુમલામાં જોવામાં આવ્યું છે?" આવા પ્રશ્નોના જવાબો ધમકીની બુદ્ધિથી મળે છે.

સમસ્યા એ છે કે ધમકીની બુદ્ધિ વિપુલ પ્રમાણમાં અને વિખરાયેલી છે: રિપોર્ટ્સ, બ્લોગ્સ, ફીડ્સ, ફોરમ્સ, હજારો IOC. AI આ સ્ટેકને સમજવામાં શક્તિશાળી છે: તે લાંબા ધમકી અહેવાલોનો સારાંશ આપે છે, હુમલાના વર્ણનમાંથી સંરચિત IOC અને TTP કાઢે છે, તેમને MITER ATT&CK ફ્રેમવર્કમાં નકશા બનાવે છે અને પૂછે છે કે "શું આ અમને ચિંતા કરે છે?" પ્રશ્નનો પ્રથમ ડ્રાફ્ટ તૈયાર કરે છે. પરંતુ AI ભૂલથી જૂની, અચોક્કસ અથવા સંદર્ભની બહારની બુદ્ધિને સાચી માની શકે છે, બિન-અસ્તિત્વમાં રહેલું જોખમ જૂથ અથવા IOC બનાવી શકે છે અને તમારી સંસ્થા માટે ગુપ્ત માહિતી ખરેખર માન્ય છે કે નહીં તે જાણતું નથી. AI સારાંશ, માળખાં અને નકશાની બુદ્ધિ; IOC ને બ્લોક લિસ્ટ કરવું, એજન્સીને ગુપ્ત માહિતી લાગુ કરવી અને અહેવાલ "કાર્યયોગ્ય" જાહેર કરવો તે વિશ્લેષક પર નિર્ભર છે.

ધમકીની બુદ્ધિના સ્તરો

થ્રેટ ઇન્ટેલિજન્સ ત્રણ સ્તરે ગણવામાં આવે છે:

1. ટેકનિકલ/ઓપરેશનલ (IOC સ્તર): નક્કર સૂચકાંકો — ખરાબ IP, ડોમેન્સ, હેશ, URL. તે અલ્પજીવી છે (હુમલાખોર IP બદલે છે). AI આને રિપોર્ટમાંથી બહાર કાઢવા અને તેનું માળખું બનાવવા માટે ઝડપી છે.
2. વ્યૂહાત્મક (TTP સ્તર): હુમલાખોર કેવી રીતે વર્તે છે - તે કઈ તકનીકો, સાધનો, પદ્ધતિઓનો ઉપયોગ કરે છે. તે વધુ કાયમી છે (વર્તન બદલવું મુશ્કેલ છે). MITER ATT&CK આ સ્તરની સામાન્ય ભાષા છે.
3. વ્યૂહાત્મક: કોણ લક્ષ્યાંકિત કરી રહ્યું છે, શા માટે, કયા ક્ષેત્રે, કયા વલણ સાથે. તે મેનેજમેન્ટના નિર્ણયોને ફીડ કરે છે. AI આ સ્તરે લાંબા અહેવાલોનો સારાંશ આપે છે.

શરતો: IOC (સંબંધનું સૂચક — ઉલ્લંઘનનું સૂચક, કોંક્રિટ તકનીકી ટ્રેસ). TTP (યુક્તિઓ, તકનીકો, પ્રક્રિયાઓ — વર્તન પેટર્ન). MITER ATT&CK, હુમલાખોર તકનીકોની એક નંબરવાળી, દસ્તાવેજીકૃત લાઇબ્રેરી (દા.ત. T1566 "ફિશિંગ"). APT (એડવાન્સ્ડ પર્સિસ્ટન્ટ થ્રેટ — એડવાન્સ્ડ, પર્સિસ્ટન્ટ, ઘણીવાર સ્ટેટ-સ્પૉન્સર્ડ હુમલાખોર જૂથ). ફીડ, આપમેળે અપડેટ થયેલ IOC સ્ટ્રીમ. મિસટ્રિબ્યુશન, ખોટા જૂથના હુમલાને આભારી; તે બુદ્ધિની સૌથી સામાન્ય ભૂલ છે.

ઇન્ટેલિજન્સ સ્ત્રોત મૂલ્યાંકન ચાર્ટ

માપદંડ

પૂછવા માટે પ્રશ્ન

શા માટે તે મહત્વનું છે?

વર્તમાનતા

તે ક્યારે પ્રકાશિત થયું હતું? શું તે હજુ પણ માન્ય છે?

IOC ઝડપથી અપ્રચલિત થઈ જાય છે

સ્ત્રોત વિશ્વસનીયતા

કોણે પ્રકાશિત કર્યું, તેની પ્રતિષ્ઠા શું છે?

ઘણી બધી ખોટી/બનાવટી બુદ્ધિ

સુસંગતતા

શું તે અમને/અમારા ઉદ્યોગને લક્ષ્ય બનાવે છે?

દરેક ધમકી તમારી ધમકી નથી

ચકાસણીક્ષમતા

શું બીજો સ્ત્રોત આની પુષ્ટિ કરે છે?

એક સ્ત્રોત પૂરતો નથી

ક્રિયાક્ષમતા

હું શું કરી શકું (બ્લોક, ટ્રૅક, કૉલ)

જ્ઞાનને ક્રિયામાં ફેરવવું જોઈએ

અવતરણની ચોકસાઈ

જૂથ એટ્રિબ્યુશન કેટલું નક્કર છે?

મિસટ્રિબ્યુશન ગેરમાર્ગે દોરે છે

ત્રણ નાના કેસો

કેસ 1 - 40-પાનાના અહેવાલથી ક્રિયા સુધી. એક વિશ્લેષકે એઆઈ પાસે નવા રેન્સમવેર ઝુંબેશ વિશે 40-પાનાના ધમકી અહેવાલનો સારાંશ આપ્યો છે. AI રિપોર્ટને 1 પૃષ્ઠ સુધી ઘટાડે છે, 32 IOC (IP, હેશ, ડોમેન) અને 7 MITER ATT&CK તકનીકો બહાર કાઢે છે અને નોંધે છે કે "આ જૂથ તમારા ઉદ્યોગને લક્ષ્ય બનાવી રહ્યું છે." વિશ્લેષક દરેક IOC ને બીજા સ્ત્રોત સાથે ચકાસે છે, 21 કે જે હજુ પણ વોચ લિસ્ટમાં માન્ય છે તે ઉમેરે છે, ટેક્નિકના ATT&CK નંબરોની પુષ્ટિ કરે છે, અને તેને જોખમી શિકારની પૂર્વધારણામાં વિકસાવે છે. એઆઈએ 40 પૃષ્ઠોને પ્રક્રિયા કરવા યોગ્ય બનાવ્યું; ચકાસણી અને કાર્યવાહી વિશ્લેષકની હતી.

કેસ 2 - બનાવેલ APT જૂથ. એક વિશ્લેષકે એઆઈને પૂછ્યું કે "કયા જૂથે આ હુમલો કર્યો?" તે પૂછે છે. AI આત્મવિશ્વાસપૂર્વક જવાબ આપે છે: "આ 'APT-Dark Eagle' જૂથની જાણીતી તકનીક છે." વિશ્લેષક જાણીતા ખતરનાક ગુપ્તચર સ્ત્રોતોમાં આ જૂથને શોધે છે — એવું કોઈ જૂથ નથી, મોડેલનું નામ છે. જો તેણે તેની પુષ્ટિ કરી ન હોત, તો રિપોર્ટ ખોટા એટ્રિબ્યુશન સાથે બહાર ગયો હોત. પાઠ: જૂથ એટ્રિબ્યુશન એ સૌથી સહેલો અને જોખમી દાવો છે; તે હંમેશા જાણીતા સ્ત્રોત દ્વારા ચકાસવામાં આવે છે અને તેને "ચોક્કસ એટ્રિબ્યુશન" ને બદલે "નીચેની તકનીકો સાથે સુસંગત" તરીકે ઓળખવામાં આવે છે.

કેસ 3 — જૂના IOC સાથે ખોટા બ્લોકિંગ. એક ટીમે એઆઈને પૂછ્યું કે મહિનાઓ પહેલાના અહેવાલમાંથી તેને મળેલી આઈપીની સૂચિ "શું આપણે અવરોધિત ન કરવી જોઈએ"? તે પૂછે છે; AI કહે છે "હા, તેઓ દૂષિત છે." પરંતુ વિશ્લેષક જુએ છે કે IPમાંથી એક હવે કાયદેસર ક્લાઉડ પ્રદાતા (CDN) ની છે; તે IP ને અવરોધિત કરવાથી સંસ્થા દ્વારા ઍક્સેસ કરવામાં આવતી કાયદેસરની સેવાઓ પણ બંધ થઈ જશે. IOC અલ્પજીવી છે. વિશ્લેષક વર્તમાનતાને ચકાસે છે અને જૂનાને દૂર કરે છે. પાઠ: જ્યાં સુધી IOC તેની વર્તમાનતાને ચકાસતું નથી ત્યાં સુધી તે બ્લોકલિસ્ટમાં જતું નથી.

નબળા પ્રોમ્પ્ટ / મજબૂત પ્રોમ્પ્ટ

નબળા પ્રોમ્પ્ટ:

આ હુમલો કોણે કર્યો અને મારે કયા IP ને બ્લોક કરવા જોઈએ? [અહેવાલ]

આ વિનંતી AI પાસેથી ચોક્કસ એટ્રિબ્યુશન અને સીધા અવરોધિત નિર્ણય માટે પૂછે છે, તે સમયસરતા અને ચકાસણી માટે પૂછતી નથી, તે ફેબ્રિકેશન માટે ખુલ્લી છે. AI એક વિશ્વાસપાત્ર પરંતુ અચોક્કસ એટ્રિબ્યુશન અને જૂની IOC સૂચિ આપી શકે છે.

શક્તિશાળી પ્રોમ્પ્ટ:

તમારી ભૂમિકા: વિશ્લેષક માટે મદદનીશ જે ધમકીની ગુપ્ત માહિતીનો સારાંશ અને ગોઠવણી તૈયાર કરે છે. નિર્ણય લેવો; "બ્લોક" ન કહો, ચોક્કસ જૂથ સંદર્ભો બનાવશો નહીં. નીચેના અહેવાલની પ્રક્રિયા કરો: (1) 1-પૃષ્ઠનો સારાંશ (કોણ, શું, લક્ષ્ય, પદ્ધતિ), (2) IOCs (IP, ડોમેન, હેશ, URL) ની સંરચિત સૂચિ કાઢો; દરેક માટે "[વર્તમાન અને ગૌણ સ્ત્રોત ચકાસવા જોઈએ]" ચિહ્નિત કરો; ડમી IOC ઉમેરો,(3) MITER ATT&CK માં TTP નો નકશો કરો પરંતુ દરેક T-નંબરને "[ATT&CK માં પુષ્ટિ કરો]" ચિહ્નિત કરો, (4) એટ્રિબ્યુશન માટે "ચોક્કસ જૂથ" ન કહો; "આ તકનીકો સાથે સુસંગત" ભાષાનો ઉપયોગ કરો અને પુરાવાની શક્તિ જણાવો, (5) આ બુદ્ધિ આપણા ઉદ્યોગ/આર્કિટેક્ચરને શા માટે લાગુ પડી શકે છે તેના પ્રશ્નો લખો. અહેવાલ: [પેસ્ટ]

મજબૂત દાવો સારાંશ + માળખું માટે પૂછે છે, દરેક IOC/TTP ને ચકાસણી માટે છોડી દે છે, ચોક્કસ એટ્રિબ્યુશન, પ્રશ્નોની સુસંગતતા પર પ્રતિબંધ મૂકે છે.

નકલ કરી શકાય તેવા પ્રોમ્પ્ટ નમૂનાઓ

રિપોર્ટનો સારાંશ ટેમ્પલેટ્સ 3 સ્તરો પર નીચેના ધમકી અહેવાલનો સારાંશ આપો: (1) વ્યૂહાત્મક (કોણ, શા માટે, લક્ષ્ય ક્ષેત્ર), (2) વ્યૂહાત્મક (ટીટીપીનો ઉપયોગ), (3) તકનીકી (આઈઓસીના પ્રકારો). 1 પૃષ્ઠથી વધુ ન હોવો જોઈએ. તમે રિપોર્ટમાંથી હટાવ્યા નથી તેવા કોઈપણ દાવાઓ શામેલ કરશો નહીં; બનાવટ. અહેવાલ: [પેસ્ટ]

IOC નિષ્કર્ષણ ટેમ્પલેટ નીચેના ટેક્સ્ટમાંથી સંરચિત IOC ને કાઢે છે: પ્રકાર (IP/domain/hash/URL/email), મૂલ્ય, સંદર્ભ. લખાણમાં સ્પષ્ટપણે જણાવવામાં આવ્યું છે તે જ લો; ફિટિંગ દરેક IOC માટે "[વર્તમાન + ગૌણ સ્ત્રોત ચકાસાયેલ હોવું આવશ્યક છે]" તપાસો. ટેબ્યુલર સ્વરૂપમાં ચકાસો. ટેક્સ્ટ: [પેસ્ટ]

એટીટી એન્ડ સીકે મેચિંગ ટેમ્પલેટ MITER એટીટી એન્ડ સીકે યુક્તિઓ અને તકનીકો માટે હુમલાના વર્ણનમાં વર્તણૂકોનો નકશો બનાવો. દરેક મેપિંગ માટે: વર્તણૂક ક્વોટ + સૂચવેલ તકનીકનું નામ +"[T-નંબર ATT&CK] માં પુષ્ટિ થયેલ હોવી આવશ્યક છે". મેડ-અપ તકનીક/નંબર આપશો નહીં; જો તમને ખાતરી ન હોય, તો "[અસ્પષ્ટ]" લખો. વર્ણન: [પેસ્ટ]

પ્રાસંગિકતા મૂલ્યાંકન નમૂનો નીચેની ધમકીની બુદ્ધિ અમારી સંસ્થાને લાગુ પડે છે કે કેમ તેનું મૂલ્યાંકન કરવામાં મને મદદ કરો: અમારી કઈ સંપત્તિ લક્ષ્ય તકનીક/ઉદ્યોગ સાથે મેળ ખાય છે તે પ્રશ્નો બનાવો. નિર્ણય લેવો; મને એક ચેકલિસ્ટ આપો. ઇન્ટેલિજન્સ સારાંશ: [પેસ્ટ]

સામાન્ય ભૂલો

• ચોક્કસ જૂથ એટ્રિબ્યુશન બનાવવું. એટ્રિબ્યુશન એ સૌથી મુશ્કેલ અને સૌથી ગેરસમજ વિસ્તાર છે; "બરાબર તે જૂથ" ને બદલે "આ તકનીકો સાથે સુસંગત" કહો અને સ્ત્રોત સાથે પુષ્ટિ કરો.
• ચલણની ચકાસણી કર્યા વિના IOC ને અવરોધિત કરવું. IOC અલ્પજીવી છે; જૂનો IP હવે કાયદેસર સેવાનો હોઈ શકે છે, પહેલા તાજગી તપાસો.
• એક જ સ્ત્રોત પર વિશ્વાસ કરવો. બીજા સ્વતંત્ર સ્ત્રોત સાથે ગુપ્ત માહિતીની પુષ્ટિ કરો; ઘણી બધી ખોટી/બનાવટી બુદ્ધિ છે.
• સુસંગતતા પર પ્રશ્ન નથી. દરેક ધમકી તમારી ધમકી નથી; ઉદ્યોગ, ટેકનોલોજી અને આર્કિટેક્ચર ઓવરલેપ જુઓ.
• IOC/તકનીક/જૂથ બનાવવાનું વિચારીને તે સાચું છે. AI તેમને અસ્ખલિત રીતે અનુકૂલિત કરી શકે છે; દરેકને જાણીતા સ્ત્રોત અને MITER ATT&CK પર ચકાસો.

ટીપ: ધમકીની ગુપ્ત માહિતીનો સૌથી સતત અને મૂલ્યવાન સ્તર TTP છે, IOC નહીં. હુમલાખોર એક દિવસમાં તેનો આઈપી બદલી નાખે છે, પરંતુ તેની બિહેવિયર પેટર્ન (TTP) બદલવી મુશ્કેલ છે. TTP શોધ પર તમારો બચાવ બનાવો, IOC અવરોધિત કરવા પર નહીં.

સાવધાન: IOC ને બ્લોકલિસ્ટમાં મૂકવાથી કાયદેસર ટ્રાફિક (ખોટા હકારાત્મક બ્લોકિંગ) પણ અવરોધાઈ શકે છે. જૂથ તરફ ખોટી રીતે આંગળી ચીંધવાથી સંસાધનોનો ખોટો વ્યય થાય છે. બુદ્ધિ એ એક ઇનપુટ છે; બ્લોકીંગ અને એટ્રિબ્યુશનનો નિર્ણય ચકાસણી પછી વિશ્લેષક પર રહે છે.

સારાંશમાં

ધમકીની બુદ્ધિ સંસ્થાને એકલા નહીં પરંતુ વિશ્વના અનુભવ સાથે લડવા સક્ષમ બનાવે છે; પરંતુ કારણ કે તે અસંખ્ય, અવ્યવસ્થિત અને ચલ છે, તેને અર્થઘટનની જરૂર છે. AI ત્રણ સ્તરો (વ્યૂહાત્મક, વ્યૂહાત્મક, તકનીકી) પર લાંબા અહેવાલોનો સારાંશ આપે છે, IOC અને TTP, MITER ATT&CKના નકશાઓ અને સુસંગતતા રૂપરેખા પ્રદાન કરે છે. સૌથી મોટા જોખમો: બનાવેલ IOC/ટેકનિક/જૂથ, સચોટ પરંતુ ખોટા એટ્રિબ્યુશન અને અપ્રચલિત IOC. તેથી જ દરેક IOC વર્તમાનતા અને બીજા સ્ત્રોત સાથે માન્ય છે, દરેક તકનીક ATT&CK; માં ચકાસવામાં આવે છે. સંદર્ભ "તકનીકો સાથે સુસંગત" ભાષામાં બનાવવામાં આવે છે અને "નિશ્ચિત જૂથ" માં નહીં; અને બ્લોક/લાગુ કરવાનો નિર્ણય વિશ્લેષકનો છે. સંરક્ષણનું હૃદય કાયમી TTP શોધ છે, અલ્પજીવી IOCs નથી.

એપ્લિકેશન કાર્ય

સાર્વજનિક નમૂનાના ધમકી અહેવાલ મેળવો. "રિપોર્ટ સારાંશ" અને "IOC એક્સ્ટ્રેક્શન" ટેમ્પ્લેટ્સ સાથે AI માંથી IOC ની સારાંશ અને માળખાગત સૂચિને બહાર કાઢો. જાણીતા સ્ત્રોત પર IOC માંથી 5 ની ચલણ અને અધિકૃતતા તપાસો; ઓછામાં ઓછું એક જૂનું અથવા શંકાસ્પદ IOC શોધવાનો પ્રયાસ કરો. MITER ATT&CK સાઇટ પર "ATT&CK મેચિંગ" ટેમ્પલેટ સાથે બહાર પાડવામાં આવેલ તકનીકોના ટી-નંબરોને ચકાસો અને જો કોઈ હોય તો નકલી/ખોટો નંબર પકડો.

ચેકલિસ્ટ

• [ ] મેં ત્રણ સ્તરો (વ્યૂહાત્મક, વ્યૂહાત્મક, તકનીકી) પર અહેવાલનો સારાંશ આપ્યો.
• [ ] મેં દરેક IOC ને ચલણ અને બીજા સ્વતંત્ર સ્ત્રોત સાથે ચકાસ્યું છે.
• [ ] મેં અધિકૃત સ્ત્રોતમાં દરેક MITER ATT&CK ટેકનિક/યુક્તિની ચકાસણી કરી છે.
• [ ] મેં જૂથ સંદર્ભને "ચોક્કસ" ને બદલે "તકનીકો સાથે સુસંગત" ની ભાષામાં સંબોધ્યો છે.
• [ ] મેં મારી સંસ્થા (સેક્ટર, ટેક્નોલોજી, આર્કિટેક્ચર) માટે બુદ્ધિની સુસંગતતા પર પ્રશ્ન કર્યો.
• [ ] મેં દરેક દાવાની હકીકત તપાસી છે, તે જાણીને કે તે IOC/તકનીક/જૂથથી બનેલો હોઈ શકે છે.
• [ ] મેં ચકાસણી પછી વિશ્લેષક તરીકે અવરોધિત કરવાનો અને અમલ કરવાનો નિર્ણય લીધો છે.