Riba:
- Fahimtar cewa basirar wucin gadi ta taƙaita tare da tara dubban layukan log ɗin, tana kafa tsarin lokaci kuma yana ba da haske game da alamu masu shakku, amma manazarcin ya yanke shawarar cewa lamarin harin gaske ne tare da ɗanyen log ɗin.
- Ikon yin amfani da asali (halayen al'ada) lokacin kimanta ƙararrawar SIEM da kuma yadda za a kawar da ƙimar ƙarya ba tare da mahallin ba da kuma yadda ba za a iya fassara anomaly ba.
- Ability don samun al'ada ta tabbatar da jerin abubuwan da aka kafa ta hanyar basirar wucin gadi a cikin ɗanyen log ɗin da kuma cire alaƙar da ba ta dace ba.
Masanin tsaro ya kan kashe mafi yawan kwanakinsa yana karanta littattafai. Log ɗin layi shine layi na rubutu wanda ke ɗaukar tambarin abin da ya faru akan tsarin: wanda ya shiga lokacin, wane fayil aka shiga, wanda aka ƙi haɗin. Matsala ba wai gungu-gungu ya yi yawa ba, a’a, da yawansa ya yi ta shakewa. Ƙungiya mai matsakaicin girma tana samar da ɗaruruwan miliyoyin layukan katako a kowace rana. A cikin wannan tari, alamar harin gaske shine allura a cikin hay. SIEM (Bayanin Tsaro da Gudanar da Taron - tsarin da ke tattarawa da daidaita rajistan ayyukan daga tushe daban-daban a cikin cibiyar guda ɗaya kuma yana samar da ƙararrawa na tushen doka) yana nan don samun wannan allura; amma mafi yawan ƙararrawar da SIEM ke haifarwa suma ƙwaƙƙwaran karya ne (ƙarararrawar banza waɗanda ba barazana bane a zahiri). Ainihin aikin mai sharhi shine fitar da siginar gaske daga wannan amo.
Hankali na wucin gadi taimako ne mai ƙarfi a cikin wannan rarrabuwa. Yana iya karanta dubunnan layukan log ɗin cikin daƙiƙa guda kuma ya taƙaita su cikin yaren ɗan adam, tari mai maimaitawa, kwatanta jerin abubuwan da suka faru a matsayin "da farko wannan ya faru, sannan wancan," kuma ya bayyana dalilin da yasa ƙararrawa ya zama abin tuhuma. Amma AI bai san abin da log ɗin ke nufi ba a cikin mahallin cibiyar: "shigo da karfe 3 na safe" hari ne a cikin wata cibiyar, canjin dare na yau da kullun a cikin wani. Don haka AI ta taƙaita kuma tana tuta log ɗin, amma manazarci ya yanke shawarar ko wani lamari ne na gaske kuma ya tabbatar da shi tare da ɗanyen log ɗin.
Matakan bincike na log
Anan ga yadda kuke gudanar da bincike na mataki-mataki-mataki/SIEM tare da AI:
- Tattara a ɓoye suna. Cire guntun guntun da ya dace; maye gurbin ainihin IPs, sunayen masu amfani, sunayen masu masaukin baki tare da masu sanya wuri (USER_A, IC_IP_1). Kada a taɓa fitar da ɗanyen bayanai kamar yadda ake zuwa kayan aiki na waje.
- Ba da mahallin. Faɗa wa AI tushen log ɗin (tacewar wuta, log ɗin taron Windows, sabar gidan yanar gizo), menene halaye na yau da kullun, da abin da kuke nema. Binciken log ba tare da mahallin yaudara ba ne.
- Takaita da tara. Tambayi AI don haɗa dubunnan layuka ta nau'ikan taron, cire ƙididdige abubuwan faruwa, da ƙirƙirar tsarin lokaci.
- Yi alamar alamu masu tuhuma. Haskaka alamu kamar "shiga guda ɗaya mai nasara bayan shiga mara nasara", "yawan shiga fayil ɗin cikin ɗan gajeren lokaci", "haɗin hanyar sadarwa mallakar wani tsari wanda ba a sani ba".
- Tabbatar da ingantaccen shaida. Nemo kuma tabbatar da kowane tsarin da AI ta tuƙi a cikin ainihin layin log. Hakanan bincika da kanku wuraren da AI ta rasa.
- Shawara da rajista. Bayyana ainihin abin da ya faru a matsayin manazarci, buɗe tikiti, kuma rubuta cewa AI mai haɓakawa ce kawai.
Sharuɗɗa kaɗan: Madogarar log ita ce tsarin da ke samar da log ɗin. Haɗin kai yana haɗa abubuwan da suka faru daga tushe daban-daban da yin ma'ana (shiga VPN + damar shiga fayil + canja wurin bayanai = yuwuwar yuwu). Ma'auni shine ma'auni na al'ada na al'ada na tsarin; Anomaly kawai yana da ma'ana dangane da tushe. UEBA (Mai amfani da Halayen Halayen Masu Amfani) hanya ce ta tushen AI wacce ke koyon al'adar kowane mai amfani da karkatar da tutoci.
kwatanta jadawalin
kusanci
Yaya yake aiki
karfi batu
rauni
Tsarin tsarin SIEM
Kafaffen dokokin "idan-to".
M, bayyananne
An rasa harin da ba a san shi ba, yawancin abubuwan da ba a sani ba
Gano tushen sa hannu
Matches da aka sani mara kyau tsari
Saurin barazanar da aka sani
Makafi zuwa sabon/canza hari
Anomaly/UEBA (AI)
Nemo sabani daga al'ada
Zai iya kama abin da ba a sani ba
Anomaly = ba hari; hadarin karya tabbatacce
Takaitawa tare da AI
Yana taƙaita log in harshe
Sauri, iya karatu
Babu mahallin, haɗarin hasashe
Analyst (dan Adam)
Sharhi tare da mahallin
yanke shawara, alhakin
Sannu a hankali, yana gajiya, baya yin girma
Saitin da ya dace ba shine a zaɓi ɗaya ba amma zuwa Layer: SIEM da sa hannu suna tace amo, AI ta taƙaita da karin bayanai, manazarci ya tabbatar da yanke shawara.
uku mini lokuta
Case 1 - Layi 50,000, mintuna 6. Wani manazarci ya ɓoye sunayen layukan shiga 50,000 daga sabar yanar gizo zuwa AI. AI ta yanke cewa IP guda ɗaya ta waje ta rarrafe / hanyoyin gudanarwa tare da buƙatun 12,000 a cikin sa'o'i 3, sun gwada sigogi daban-daban 480, kuma sun karɓi amsa 200 sau 3. Manazarci ya sami waɗannan buƙatun nasara guda 3 a cikin ɗanyen log ɗin, ya tabbatar da harin ƙidayar hanya ne na gaske, kuma ya toshe IP ɗin. Karanta layi 50,000 da hannu zai ɗauki sa'o'i; Takaitaccen bayanin ya rage shi zuwa mintuna 6, amma shawarar manazarta ce.
Hali na 2 - Haɗin kai. Wani manazarci ya gaya wa AI, "bayyana sarkar harin a cikin wannan log ɗin." AI tana gina labari mai ruwa: "A 02:11, USER_B ya ɗaukaka gata kuma ya fitar da bayanan." Manazarci yana buɗe ɗanyen log ɗin kafin ya rubuta shi a cikin rahoton; alhali a cikin log ɗin babu wani haɓaka gata ko canja wurin bayanai - ƙirar ta dace da jerin abubuwan da suka faru a cikin “labarin hari.” Manazarci ya fitar da da'awar. Darasi: Kowane sarkar da AI ta faɗa ya kamata a tabbatar da shi a cikin log ɗin.
Case 3 - Canjin dare karya tabbatacce. Samfurin UEBA yana tuta mai amfani yana samun damar fayiloli 900 a karfe 3 na safe a matsayin "babban haɗari." Manazarci yana bincika mahallin: mai amfani shine ma'aikacin madadin kuma wannan aikin yana gudana da ƙarfe 03:00 kowane dare; Ba a kalli tushen tushen ba. Ƙararrawa tabbataccen ƙarya ce. Manazarci yana saita ƙa'ida kuma yana ƙara wannan afaretan zuwa jerin keɓantacce. Anomaly ba koyaushe hari ba ne; Ba tare da mahallin ba, ƙararrawa ita ce hayaniya.
Rauni mai ƙarfi / Ƙarfi mai ƙarfi
Rawanin faɗakarwa:
Yi nazarin wannan littafin, gaya mani idan an kai hari.[10.14.2.7 - ahmet.yilmaz - 200 - / admin ...]
Wannan faɗakarwa ta ƙunshi ainihin IP da mai amfani (keɓancewar sirri), baya gaya tushen log ɗin da halayen al'ada, baya tambayar AI don shaida da ƙimar ƙimar ƙarya. AI na iya ɓatar da ku da jumla ɗaya, "eh, akwai hari."
Ƙarfi mai ƙarfi:
Matsayinku: Mataimakin SOC manazarci yana shirya DRAFT nazari. Kar ku yanke shawara, kar a ayyana hari. Wannan sabar gidan yanar gizo ce da ba a bayyana sunanta ba (IPs da masu amfani an rufe su). Hanyoyin zirga-zirga na yau da kullun: buƙatun 100-300 / awa yayin lokutan kasuwanci, galibi / samfuri da / hanyoyin mota. Ayyukanku: (1) tari abubuwan da suka faru ta nau'i da tushe, bayar da adadin abubuwan da suka faru, (2) alamun tuta waɗanda suka karkata daga tushe, (3) nuna wa kowace tuta waɗanda layin log ɗin ya dogara da su, (4) rubuta yuwuwar tabbataccen ƙarya ga kowane kuma me yasa. Layi mai dacewa / shigar da IOC; Alama "[analyst verify]" inda ba ku da tabbas.
Ƙarfin da'awar yana iyakance rawar, yana ba da mahallin mahallin da tushe, kuma yana buƙatar haɗin kai tare da shaida da kimanta ƙimar gaskiya.
Samfuran gaggawar da za a iya kwafi
SAUKI TAKATACCEN TEMPLATEWaɗannan maras amfani [tushen log: misali. Taƙaitaccen log ɗin [tacewar wuta]: (1) rukuni ta nau'ikan abubuwan da suka faru kuma ba da adadin abubuwan da suka faru na kowace ƙungiya, (2) zazzage adadin tushe / maƙasudi na musamman, (3) kafa tsarin lokaci (wakilin farko-ƙarshe, sa'o'i kololuwa), (4) jera manyan abubuwan ban mamaki guda 5 tare da layin shaida. Yanke shawara; a takaice dai. Log: [manna]
TAFIYA MAI GIRMA Daidaita abubuwan da ba a san su ba a kan lokaci da mahallin kuma gina yuwuwar jerin abubuwan da suka faru; AMMA, ga kowane mataki, nuna wane layin log ɗin ya dogara da shi, kuma sanya alamar da ba ta da tushe a matsayin "[babu tushe - dole ne a tabbatar da shi]". Rubuta madadin bayani mai niyya kuma. Abubuwan da suka faru: [manna]
TAFIYA MAI KYAU KARYA Don wannan ƙararrawa, samar da aƙalla cikakkun bayanai guda 3 masu kyakkyawar niyya (ƙarya mai inganci) don fassarar harin kuma rubuta abin da ƙarin log/shaida nake buƙatar duba don tabbatar da kowane ɗayan. Sannan a tantance ko wanne karin shaida ne ke goyon bayan harin da kuma wanda ya saba da shi. Ƙararrawa: [manna]
TEMPLATE EXTRACATION TIMELINE: Ana fitar da tsarin lokaci guda ɗaya daga waɗannan rajistan ayyukan da ba a san su ba: kowane layi a cikin tsarin [lokaci] [hali] [taron] [labaran tushe]. Ƙara taron ba tare da tambarin lokaci ba. Kada ku gyara gibin; Idan bace, rubuta "[bace]". Logs: [manna]
Kuskuren gama gari
- Bincike ba tare da mahallin ba. Bayanin da aka yi ba tare da ambaton tushen log ɗin ba da halayen al'ada (tushen) yaudara ne; "anomaly" yana samun ma'ana tare da mahallin.
- Ba tabbatar da sarkar da AI ta kafa ba. Samfurin na iya haɗa al'amuran yau da kullun zuwa labarin harin; Tabbatar da kowane mataki a cikin ɗanyen log ɗin.
- Kuskuren rashin daidaituwa don kai hari. Alamar UEBA ita ce hasashe; Kawar da abubuwan da ba su da laifi kamar wariyar ajiya, kulawa, sabuwar software.
- Ana fitar da danyen bayanai ba tare da rufe fuska ba. Haƙiƙan IP/mai amfani/mai watsa shiri duka cin zarafin KVKK ne da kuma kyautar taswirar cibiyar sadarwa ga maharin.
- Kar a amince da taƙaitaccen taƙaitaccen bayani kuma dakatar da bincike. Gudanar da tsarin binciken ku (nau'ikan abubuwan da suka faru, sabbin IOCs) koda kuwa AI ta ce "babu wani abu mai mahimmanci".
Tukwici: Koyaushe tambayi don "nuna layin shaida" lokacin da AI ta taƙaita log ɗin. Kada ku ɗauki kowane bincike da mahimmanci ba tare da layin shaida ba; Wannan doka ɗaya ta yanke mafi yawan hallucinations.
Tsanaki: Yin watsi da faɗakarwar SIEM kawai saboda AI ta ce "ƙarya mai kyau" na iya ɗaukar ainihin harin. Hakanan bincika ƙararrawa da kansa wanda AI ke kira "ba shi da mahimmanci"; Hukuncin rufewa na mai sharhi ne kuma an rubuta shi.
A takaice
Ma'anar log da bincike na SIEM shine cire sigina na ainihi daga babban tarin amo. A cikin wannan rarrabuwa, AI yana taƙaita log ɗin a cikin daƙiƙa, tsarin gungu, kafa tsarin lokaci, kuma yana haskaka wanda ake zargi - amma bai san mahallin cibiyar ba kuma yana iya ƙirƙirar abubuwan da suka faru. Don haka saitin da ya dace yana shimfidawa: ka'ida / sa hannu yana daidaitawa, AI ta taƙaita da tutoci, manazarci ya tabbatar da ɗan littafin kuma ya yanke shawara. Ka'idoji guda uku suna kare ku: mahallin (ba a fassara fassarar ba tare da tushe ba), shaida (kowane binciken yana da alaƙa da layin log log), kulawa mai zaman kanta (abin da AI ke kira "tsaftace" yanki kuma ana duba shi). Kuma ko da yaushe yin aiki ba tare da suna ba.
Aikin aikace-aikace
Ɗauki guntun log ɗin samfurin (ko dai an ɓoye sunan ku daga tsarin ku ko daga saitin bayanan samfurin). Da farko, taƙaita shi zuwa AI tare da samfurin "Log Summarization". Sannan a yi amfani da samfurin “Ƙarya Mai Kyau” don kowane sanannen binciken guda uku kuma tabbatar da kowane samun kanku a cikin ɗanyen log ɗin. A ƙarshe, lura da bambance-bambance tsakanin taƙaitawar AI da ɗan karatun ku: Menene AI ya ɓace, menene ya haɗa, menene daidai?
jerin abubuwan dubawa
- [ ] Na ɓoye sunan littafin; ainihin IP / mai amfani / mai watsa shiri masked.
- [] Na ba AI tushen log da dabi'un al'ada (tushe).
- [ ] Na nemi layin bayanan shaida don kowane bincike kuma na tabbatar da shi a cikin ɗanyen log ɗin.
- [ ] Na tabbatar da kowane mataki na jerin abubuwan da AI ta kafa, na kawar da ƙirƙira.
- [ ] Na yi la'akari da aƙalla bayanin tabbataccen ƙarya na kowane ƙararrawa.
- [ ] Na kuma duba wuraren da AI ta kira "tsabta/marasa mahimmanci".
- [ ] A matsayina na manazarci, na yanke shawara da rikodin abin da ya faru; Na rubuta AI azaman mai haɓakawa.