Riba:
- Fahimtar yadda farautar barazanar ke farawa da hasashe da za a iya gwadawa, ba ƙararrawa ba, da kuma yadda basirar ɗan adam ke taimakawa wajen ƙirƙira hasashe da zayyana tambaya.
- Ƙarfin yin amfani da cewa akasin haka/ siginar da ba kasafai ake haskakawa ta hanyar hankali na wucin gadi ba yana nufin mugun nufi kai tsaye, kuma dole ne a tabbatar da hasashe tare da ɗanyen shaida.
- Ikon tabbatar da lambobin fasaha na MITER ATT&CK da ID na taron da aka bayar ta hanyar bayanan wucin gadi tare da tushen hukuma da kawar da cikakkun bayanan fasaha
Kula da tsaro na gargajiya yana aiki tare da dabaru na "jira ƙararrawa, duba lokacin da ya zo". Amma mafi yawan maharan suna ƙoƙari kada su ƙara ƙararrawa: suna amfani da kayan aiki na halal (wannan ana kiransa "masu amfani" - wato, cin zarafin kayan aikin da suka rigaya a kan tsarin, irin su PowerShell, WMI), suna motsawa a hankali, kuma suna tsoma baki tare da zirga-zirga na yau da kullum. Abin da ya sa aka haifi farautar barazanar: ba tare da jiran ƙararrawa ba, "idan a halin yanzu akwai maharin da ba a gano ba a cikin ƙungiyar ta, ina zai kasance?" Neman sawu a hankali tare da tambayar: Barazanar farauta yana farawa da hasashe, ba ƙararrawa ba.
Hankali na wucin gadi yana da matukar amfani a wurare biyu wajen farautar barazanar. Na farko shine tsara hasashe: ba da dabarar kai hari kuma ku tambayi "Idan an yi amfani da wannan dabarar a cikin ma'aikata ta, akan wanne katako kuma a cikin wane tsari zai bar alama?" za ku iya tambaya. Na biyu shi ne hakar sigina: yana iya haskaka abin da ba kasafai ba, mafifici, "bambanta da al'ada" a cikin manyan bayanai. Amma AI bai san abin da ke al'ada ga ƙungiyar ku ba kuma yana iya faɗa cikin tarkon tunanin an tabbatar da hasashe. A cikin farauta barazanar, AI abokin tarayya ne da na'urar daukar hotan takardu; Mafarauci (mai nazari) ya yanke shawara ko ganima ya sami matsala ta gaske kuma ko za a ba da rahoton hakan.
Matakan farauta barazana
- Hasashen. Jumla na kankare, wanda za'a iya gwadawa: "Mai iya kai hari yana duba hanyar sadarwa ta cikin gida a cikin sa'o'in da ba na kasuwanci ba tare da wani asusu da aka lalata." Kuna iya amfani da AI don yin tunani a nan.
- Gano tushen bayanai. Wane log ne ya tabbatar da/karya hasashen? (Misali, Tacewar zaɓi da rajistan ayyukan DNS don duba hanyar sadarwa, rajistan ayyukan gata don haɓaka gata.)
- Zana tambayar. Tambayar da za ta nemo tsarin da aka yi niyya (harshen tambayar SIEM, KQL, SQL-like). AI yana taimakawa wajen tsara tambayoyin; amma ka sake duba tambayar ka gudanar da ita.
- Cire sakamakon. Tace ainihin siginar daga fitowar ɗaruruwan layukan. Anan AI yana yin tari da taƙaitawa.
- Tabbatar ko karyata. Tabbatar da cikakken shaida da mahallin ko alamar da aka gano ta kasance da gaske qeta ko mara laifi.
- Rubuta sakamakon kuma juya shi zuwa ga ƙaddara. Mayar da ainihin ƙirar da aka samo zuwa ƙa'idar ganowa ta dindindin; Idan hasashe ya gaza, yi rikodin hakan shima (mummunan sakamako shima bayani ne).
Sharuɗɗan: TTP (Dabaru, Dabaru, Tsarukan - tsarin ɗabi'a na maharan). MITER ATT&CK babban ɗakin karatu ne wanda aka ƙididdige shi da kuma rubuce na dabarun maharan (misali T1078 “Asusun Inganci”); Yana ba da harshe gama gari a cikin farauta barazanar. IOC (Mai nuna ƙeta - IP mara kyau, zanta, yanki). Farin amo (farar fata/wanda aka sani-mai kyau) dabi'a ce ta al'ada da aka sani don sadaukar da ganima.
Tebur na barazanar farauta hanyoyin
kusanci
wurin farawa
Gudunmawar AI
Hankali
Hasashe bisa farauta
"Idan da akwai maharin irin wannan..."
Ƙirƙirar hasashe, bayanin tsari
Hasashen ba shaida ba ne
farauta tushen IOC
Alamar mara kyau da aka sani
Daidaita IOCs zuwa rajistan ayyukan
Tsohuwar/ba daidai ba IOC bata
TTP/ATT&CK tushen farauta
Fasaha (T-lambar)
Mayar da dabara zuwa tsarin log
Technique ≠ tsari guda ɗaya
Anomaly tushen farauta
Dabarar kididdiga
Haskaka abin ban mamaki
Contrarian ≠ mummunan imani
Binciken mitar tari
"Mene ne mafi wuya?"
Gano abin da ba kasafai ba
Rare ≠ haɗari
uku mini lokuta
Case 1 - Gano abin da ba kasafai ba. Mafarauci na iya tambaya, "Wanne tsari ne akan hanyar sadarwa ta ciki ke gudana akan mafi ƙarancin kwamfutoci amma ya kafa mafi yawan hanyoyin sadarwa?" ya kafa hasashensa. AI tana ba da alama daga bayanan haɗin da ba a san su ba: tsari mai suna svchost32.exe, wanda aka gani akan injuna 2 kawai, yana haɗawa zuwa adiresoshin waje daban-daban 340. Mafarauci yayi nazari akan haka; Yana nemo malware wanda ya kwaikwayi halalcin svchost.exe. AI tace ba kasafai ba; Mafarauci ya yi bincike da shiga tsakani.
Case 2 - The kasa (amma mai daraja) farauta. Wani mafarauci ya tambaya "Shin za a iya samun yawan zazzage bayanan jama'a a lokutan da ba na kasuwanci ba?" ya kafa hasashensa; AI ya rubuta daftarin tambaya mai dacewa. Sakamako: 3 masu amfani sun sauke da dare, amma dukkansu ukun ma'aikatan ofis ne na ketare kuma suna aiki a lokutan kasuwanci saboda bambance-bambancen yankin lokaci. An karyata hasashen. Mafarauci ya rubuta wannan a matsayin "sakamako mara kyau" kuma ya lura da waɗannan masu amfani guda 3 a matsayin keɓanta ga farautar nan gaba. Hatta farautar da ba a yi nasara ba ta ba mu damar sanin cibiyar da kyau.
Case na 3 - Tarkon fasaha da aka ƙulla. Wani mafarauci ya tambayi AI "Yaya zan nemo dabarar T1055 a cikin ƙungiyara?" in ji. AI ta rubuta tambaya mai gamsarwa da tabbatarwa cewa "T1055 yana haifar da ID na taron mai zuwa"; amma ID na taron da ya bayar ba daidai ba ne kuma samfurin ya ƙunshi ƙaramin fasaha na ATT&CK. Avcı yana buɗe rikodin MITER ATT&CK, yana tabbatar da bayanin fasaha da tushen log ɗin na ainihi, kuma yana gyara ID na taron da ba daidai ba. Darasi: Tabbatar da kowane dalla-dalla na fasaha da AI ke bayarwa (ID na taron, lambar T, filin log) tare da tushen hukuma.
Rauni mai ƙarfi / Ƙarfi mai ƙarfi
Rawanin faɗakarwa:
Nemo ko akwai mai kai hari a kan hanyar sadarwa ta.
Wannan da'awar ba ta da hasashe, mara bayanai, mara iyaka kuma ba za a iya tantancewa ba. AI yana samar da jeri na gaba ɗaya ko abin da aka yi; ba shi da wani amfani.
Ƙarfi mai ƙarfi:
Matsayinku: mataimaki wanda ke ba da ra'ayoyi da fayyace ga mafarauci mai barazanar. Kada ku yanke shawara, kar a ce "akwai barazana". Hasashe na: "Asusun da aka lalatar yana iya duba tashoshin jiragen ruwa na cikin gida a cikin sa'o'in da ba na kasuwanci ba." Ƙirƙirar waɗannan abubuwa: (1) jera madogaran log ɗin da za su tabbatar da KASA wannan hasashe, (2) bayyana simintin ƙirar da za a bincika (waɗanne fage, menene ƙofa), (3) rubuta daftarin tambayar misali kuma yi sharhi kan kowane layi, (4) rubuta waɗanne bayanan da ba su da laifi za a kawar da su a sakamakon sakamakon. Ba da shawarar dabarar MITER ATT&CK mai dacewa, amma yi alama T-lambar da ID na taron a matsayin "[dole ne a tabbatar da shi daga MITER]", kar a sanya shi.
Da'awar mai ƙarfi tana farawa da ƙaƙƙarfan hasashe, yana kafa ma'auni na shaida/karyata, ya bayyana tambayar, kuma ya bar bayanan fasaha don tabbatarwa.
Samfuran gaggawar da za a iya kwafi
TEMPLATE GENERATION KYAUTA Don cibiyata [hukunce: misali. Ƙirƙirar hasashen farauta da za a iya gwadawa a cikin mahallin [Active Directory / girgije / ƙarshen ƙarshen]5. Ga kowane hasashe: (1) wanne hali maharin da yake hari, (2) wacce tushen log zai ba da shaida/karya, (3) tsarin da ake tsammani. Yi jimlolin da za a iya gwadawa, ba na gaba ɗaya ba.
TECHNIQUE PATTERN PATTERN Zan nemo dabarun kai hari a cikin cibiyara [fasaha suna]. Ƙirƙira: (1) wuraren log inda dabarar ke barin alamarta, (2) ƙirar kankare da ƙofa don nema, (3) yanayi mara laifi (ƙarya mai inganci) waɗanda zasu iya haifar da wannan ƙirar. Bayar da lambar MITRE ATT&CK T-lambar mai dacewa amma tare da "[Dole ne a tabbatar da shi daga MITER]" tuta; kar a ba da ID/lambar taron ƙirƙira.
QUERY DRAFT TEMPLATERubuta daftarin tambaya [SIEM/KQL/SQL] wanda ke neman tsari mai zuwa: [bayanin yanayin]. Zan sake duba tambayar in gudanar da ita; kar ka dauka za ka gudanar da shi. Bar sunayen filin da aka yiwa alama "[daidai ga tsari]" bisa ga tsarin da na sani.
SAKAMAKON KAWAR DA TEMPLATESakamakon farauta na ya haifar da layin masu zuwa (wanda ba a sani ba): [manna]. Rura su, kuma ga kowane rukuni rubuta (1) labari mai banƙyama, (2) aƙalla bayanan 2 marasa laifi, da (3) ƙarin shaida don neman bambanta. Yanke shawara; Kar in raba ku. Alama "[ba tushe]" don da'awar da ba ta da wata shaida.
Kuskuren gama gari
- Farauta ba tare da hasashe ba. Faɗin "nemo wani abu" yana tura AI don tsammani da gyarawa; Farautar farauta tana farawa da jimla, jimla mai iya gwadawa.
- Kuskure hasashe don shaida. Farauta yana gwada yiwuwar; Alamar da aka samo ba "barazana" ba ce har sai an tabbatar da ita ta hanyar shaida.
- La'akari ta atomatik akasin haka a matsayin mara kyau. Ba kasafai/fita ba sau da yawa mara laifi (cirewa, sabon software, aikin kashe-kashe); Tara tare da mahallin.
- Rashin tabbatar da cikakkun bayanai na fasaha. AI na iya daidaita ID na taron, lambar T da filin log; Tabbatar da MITER ATT&CK da takaddun samfur.
- Jefawa kamun da aka bata. Mummunan sakamako kuma shine ilimi: ya san ƙungiyar da kyau, yana rage abubuwan da ke gaba; daftarin aiki.
Tukwici: Kyakkyawan hasashe na farautar barazanar ya kamata ya zama “gwaji”: tabbataccen da’awar da za ta iya zama gaskiya ko ƙarya. "Akwai wani mugun abu a network dina?" ba za a iya gwadawa ba; "Shin asusun X ya haɗa zuwa fiye da IPs na ciki 50 a lokacin sa'o'in da ba na kasuwanci ba?" ana iya gwadawa.
Hankali: Ana yin farautar barazanar akan tsarin da aka ba ku izini kawai. Neman AI don "binciko" wata ƙungiya, mutum, ko hanyar sadarwar da ba ku da izini don ƙoƙarin samun damar shiga mara izini kuma yana wajen wannan tsarin.
a takaice
Farautar barazanar ita ce neman sahun maharin da ke ɓoye ba tare da jiran ƙararrawa ba, kuma tana farawa da hasashe, ba ƙararrawa ba. AI tana ba da gudummawa biyu masu ƙarfi a cikin wannan tsari: samar da hasashen da za a iya gwadawa da daftarin tambaya, da kuma tace saƙon da ba a saba gani ba daga manyan bayanai. Amma AI bai san abin da ke al'ada ga ƙungiyar ku ba, yana iya yin cikakkun bayanai na fasaha kuma ya faɗa cikin tarkon kuskuren hasashe don shaida. Don haka farauta tana da matakai shida ( hasashe, bayanai, tambaya, cirewa, tabbatarwa, takarda) kuma a kowane mataki yanke shawara ya rage ga mafarauci. Contrarian ≠ mara kyau, hasashe ≠ shaida, dalla-dalla na fasaha da AI ≠ ya bayar daidai; duk an tabbatar da su ta danyen shaida da MITER ATT&CK.
Aikin aikace-aikace
Sami hasashen farauta guda 5 daga AI tare da samfurin “Hanyoyin Halitta” don ƙungiyar ku (ko samfurin muhalli). Zaɓi mafi yawan abin da za'a iya gwadawa, daftarin tambaya tare da samfuran "Tsarin Dabaru" da "Tambaya Draft", tabbatar da kowane jere a cikin tambayar da kowane lambar T-lambar da aka ba da shawara a cikin MITER ATT&CK. Rubuta sakamakon (an tabbatar da hasashen, karyata, menene kuka koya) a cikin ɗan gajeren bayanin farauta.
jerin abubuwan dubawa
- [ ] Na fara farautata da siminti, zance mai iya gwadawa.
- [ ] Na gano tushen log ɗin da za su tabbatar da karyata hasashen.
- [ ] Na sake duba kowane layi na daftarin tambaya kuma na daidaita shi da tsarin kaina.
- [ ] Na tabbatar da dabarar MITER ATT&CK da kuma ID na taron tare da tushen hukuma.
- [ ] Na tabbatar da kowace sigina tare da shaida mai tushe da mahallin; Ban dauki akasin hakan kai tsaye ba a matsayin mara kyau.
- [ ] Na kuma rubuta hasashen da ya gaza (sakamakon mummunan shine bayani).
- [ ] Na farauta ne kawai akan tsarin da aka ba ni izinin farauta.