תגובה לאירועים: ניתוח מהיר, ספר הפעלה והחלטה מבוקרת עם בינה מלאכותית

רווחים:

• הבנה שבינה מלאכותית מאיצה תגובה לאירועים עם סיכום ראיות, הקמת ציר זמן, מיון שורש וניסוח ספרי משחק, אבל ההחלטה לבודד/לנעול/לסגור/להודיע שייכת לצוות המורשה.
• יכולת להעריך אפשרויות בלימה במונחים של השפעה עסקית והפיכות ולא לבודד תשתית קריטית מבלי למדוד את השפעתה
• יכולת להבין שמהירות ההתאוששות לא יכולה להתגבר על שימור ראיות (תמונה משפטית, שרשרת ראיות) ושלא ניתן להעביר שלבים פורנזיים לבינה מלאכותית

כשאירוע ביטחוני מתפרץ, הזמן הוא האויב. כאשר תוכנות הכופר מתחילות להתפשט, המשמעות היא שיותר מכונות מוצפנות בכל דקה; ברגע שחשבון נפגע, התוקף חופר לעומק בכל דקה. תגובה לאירועים (בקיצור IR) הוא תהליך של זיהוי אירוע ביטחוני, הגבלתו, ניקויו והחזרתו לקדמותו. IR מחייב קבלת החלטות בלחץ, עם מידע חלקי ועם תקתק של השעון; בדיוק בגלל זה זה צריך להיות גם מהיר וגם ממושמע.

בינה מלאכותית מביאה מהירות לא יסולא בפז ל-IR: מסכם במהירות ראיות מפוזרות (יומנים, התראות, נתוני EDR), קובע ציר זמן של אירועים, מונה את סיבת השורש האפשרית, מייצר טיוטה של ​​ספר הפעלה (מדריך התערבות מוגדר מראש שלב אחר שלב) ומתאר את הדוח שלאחר ההתערבות. אבל ההחלטות הקריטיות ביותר ב-IR - בידוד מערכת מהרשת, נעילת חשבון, כיבוי שרת, מחיקה או שימור של ראיות - הן החלטות שיכולות להיות הפיכות, לגרום להפרעה עסקית ולהשפיע על תהליכים שיפוטיים. לא ניתן להאציל את אלה ל-AI. AI הוא מנוע ניתוח ושרטוט ב-IR; ההחלטה על בידוד, נעילה, סגירה והודעה שייכת לצוות המענה המוסמך.

שלבי תגובה לאירוע

מסגרת נפוצה בתעשייה (מבוססת על NIST) היא שישה שלבים. בכל שלב, העזרה והמגבלה של AI שונה:

1. הכנה: ספרי משחק, תפקידים, תוכנית תקשורת מוכנים מראש. בינה מלאכותית עוזרת לייצר ספרי משחק ותרחישי תרגיל - לפני האירוע, ולא כרגע.
2. איתור וניתוח: האירוע מאומת ונקבע היקפו. AI מסכמת את הראיות, קובעת ציר זמן ומפרטת השערות שורש. ההחלטה היא בידי האנליסט.
3. בלימה: ההתפשטות מופסקת (בידוד, נעילת חשבון). החלטה קריטית זו שייכת לבני אדם; AI מפרט רק אפשרויות והשפעותיהן.
4. מיגור: חשבונות זדוניים, דלת אחורית, שנפגעו נמחקים. AI מייצר רשימת בדיקה; יישום ואימות הם אנושיים.
5. שחזור: מערכות מתאוששות ומפוקחות בצורה מבוקרת. ה-AI ממליץ על תוכנית ניטור.
6. לקחים: סיבת שורש, ציר זמן, שיפור. AI מייצר טיוטות דוחות והצעות שיפור; הוא בצוות האישורים.

תנאים: EDR (זיהוי ותגובה של נקודות קצה - תוכנה הפועלת על נקודות קצה, כלומר מחשבים, ויכולה לזהות ולהגיב להתנהגות חשודה). הסיבה העיקרית היא נקודת ההתחלה בפועל של האירוע ("איך הם נכנסו מלכתחילה?"). שרשרת משמורת היא תיעוד ללא הפרעה של מי, כיצד ומתי נאספו ראיות פורנזיות; זה קריטי בהליך המשפטי. MTTR (Mean Time To Response) הוא מדד הביצועים של צוות ה-IR.

טבלת סמכות החלטה

פעולת IR

תפקיד של AI

מי מחליט

למה

סיכום ראיות, ציר זמן

מפיק, מאיץ

אנליסט מאשר

סיכון להזיות

השערת סיבת השורש

סדרן, הצעה

אנליסט

נדרשים הקשר והוכחות

טיוטה של ספר הפעלה (קודם)

מחולל סקיצות

מנהיג IR מאשר

ישימות

לבודד את המערכת

מפרט אפשרויות בלבד

אנליסט מורשה

הפרעה עסקית, חזרה

נעילת חשבון

נותן ניתוח השפעה

אנליסט מורשה

מנעול שגוי מפסיק לעבוד

מחיקת/שימור ראיות

מזהיר, הצעות

מנהיג IR + חוק

ההליך השיפוטי מושפע

הודעה משפטית/רגולטורית

כותב טיוטה

משפט + ניהול

אחריות משפטית

שלושה מיני תיקים

מקרה 1 - סיכום מהיר תחת לחץ. התראה על תוכנת כופר מגיעה בשעה 2:40 לפנות בוקר. האנליסט נותן יומני EDR וחומת אש (על ידי אנונימיזציה) לבינה מלאכותית. בינה מלאכותית בונה ציר זמן כל 90 שניות: "01:55 קובץ דיוג נפתח, 02:10 הורדת PowerShell, 02:30 תנועה לרוחב התחילה, 3 מכונות מושפעות." האנליסט מאשר את השרשרת הזו עם שיא ה-EDR הגולמי, מבודד את 3 המכונות המושפעות לפי שיקול דעתו ומפסיק את ההתפשטות. AI הפחית 20 דקות של קריאת ראיות ל-90 שניות; האנליסט קיבל את החלטת הבידוד.

מקרה 2 - המלצת בידוד שגויה. במקרה אחד, ה-AI אומר, "התנועה מ-IC_HOST_7 חשודה, מבודדת." האנליסט בודק את ההקשר: IC_HOST_7 הוא שרת האימות הראשי של הארגון; אם הם מבודדים, כל העובדים מפסיקים להיכנס. יתרה מכך, הסיבה לתעבורה היא גיבוי לגיטימי. האנליטיקאי אינו מבודד, לחילופין עוקב רק אחר הקישור החשוד. לקח: לא ניתן ליישם את המלצת הבידוד של AI מבלי לדעת את ההשפעה העסקית; לגבי תשתית קריטית, ההחלטה היא אנושית בקפידה.

מקרה 3 - השמדת ראיות בטעות. צוות, שהיה ממהר לנקות, שאל את הבינה המלאכותית "איך אני מנקה את המכונה הזו במהירות?" הוא שואל; ה-AI מציע להתקין מחדש את המערכת. אבל המכונה מכילה ראיות פורנזיות (מזבלה של זיכרון, כלי תוקף) שעדיין לא נאספו; התקנה מחדש תהרוס את שרשרת הראיות. האנליסט הבכיר מוודא תחילה שצילום התמונה (העתק פורנזי) ולאחר מכן מנקה אותה. לקח: מהירות ההתאוששות לא יכולה לנצח את שימור הראיות; צעדים שיפוטיים אינם מואצלים ל-AI.

הנחיה חלשה / הנחיה חזקה

הנחיה חלשה:

יש מתקפת כופר, מה עלי לעשות? אילו מכונות עלי לכבות?

הנחיה זו מבקשת מה-AI החלטה תפעולית ישירה (איזו מכונה לכבות), לא נותנת שום הקשר, שום השפעה עסקית ואין ראיות. ה-AI נותן הוראה כללית או מסוכנת; אם ייושם באופן עיוור, העבודה תיפסק או שהראיות ייעלמו.

הנחיה עוצמתית:

תפקידך: עוזר במתן ניתוח ואפשרויות לצוות התגובה לאירועים. אל תקבל החלטה; אל תזמין "לכבות/לבודד את המכונה הזו", רק רשום את האפשרויות ואת ההשפעה האפשרית של כל אחת מהן. עבדו את הראיות האנונימיות הבאות: [תקציר EDR/יומן]. המשימה שלכם: (1) בנה ציר זמן סביר של אירוע, הראה על איזו ראיה אתה מבסס כל שלב, סמן את הראיה ללא בסיס כ"[חייב להיות מאומת]", (2) רשום 3 השערות שורש, כתוב כיצד לבדוק כל אחת מהן, (3) רשום אפשרויות בלימה (בידוד, ניטור, סיכון של כל השפעה/נפילה) וכתיבה חזרה; השאר לי את ההחלטה,(4) תזכיר לי אילו צעדים נדרשים כדי לשמר ראיות לפני הבידוד.

ביקוש חזק מגביל את AI כספק אופציות, קושר אותו לראיות, מדגיש את ההשפעה העסקית ושימור הראיות ומשאיר את ההחלטה לבני אדם.

תבניות הנחיות הניתנות להעתקה

תבנית ציר זמן אירוע בנה ציר זמן של אירוע כרונולוגי מהעדות ה-IR האנונימית הזו. כל שורה: [זמן] [אירוע] [מקור עדות]. הוספת שלב ללא חותמת זמן או הוכחה; סמן את החסר כ"[חסר - יש לאסוף]". החלטה/המלצה, דירוג על סמך ראיות בלבד. עדות: [הדבק]

תבנית השערת סיבת שורש ליצור 3-5 השערות שורשיות ככל הנראה לאירוע זה. לכל השערה: (1) הראיות עליהן היא מבוססת, (2) ראיות נוספות שייאסוף כדי לאשש אותה, (3) כל עקבות אחרים הצפויים אם הן נכונות. אל תצהיר על כל אחד מהם בטוח; השתמש בשפת הסתברות. תקציר האירוע: [הדבק]

תבנית אפשרות כיווץ רשום את אפשרויות הבלימה למצב הבא (בודד / צג / נעילה / פלח). עבור כל אפשרות: השפעה עסקית, קושי בהחזר, השפעה על ראיות, סיכון משפטי. אל תיתן לי פקודות; אני אקבל את ההחלטה. זה מתאים במיוחד אם מעורבת תשתית קריטית (זהות, DNS, גיבוי). סטטוס: [הדבק]

תבנית טיוטת PLAYBOOK (הכנה לפני אירוע) לתרחיש הבא [למשל. עבודה בדוא"ל פשרה] כתוב ספר התערבות שלב אחר שלב טיוטה: טריגר, תפקידים, בלימה, הרס, התאוששות, קשר, שלבי הודעה. שים סימן "[אישור אנושי]" ליד כל החלטה קריטית. טיוטה זו אינה נכנסת לתוקף ללא אישור מנהיג ה-IR.

טעויות נפוצות

• תן לבינה מלאכותית לקבל החלטות תפעוליות. השאלה "איזו מכונה עלי לכבות" שייכת לצוות שיודע את ההשפעה העסקית, לא ל-AI; AI מציעה רק בחירה והשפעה.
• ניקוי ראיות מבלי לאסוף אותן. השמדת ראיות פורנזיות למען המהירות היא בלתי הפיכה; זרוק תמונה וזיכרון לפני בידוד/ניקוי.
• ייבוא ​​ציר הזמן לדוח מבלי לאמת אותו. בינה מלאכותית יכולה להרכיב את שרשרת האירועים; אשר כל שלב עם ראיות גולמיות.
• בידוד תשתית קריטית בלי לחשוב. בידוד זהות, DNS, שרת גיבוי יכול להביא את הארגון כולו לעצירה; למדוד את ההשפעה תחילה.
• כתיבת ספר המשחקים בפעם הראשונה בזמן האירוע. Playbook נעשה בשלב ההכנה; הניסיון לכתוב מאפס בזמן האירוע מייצר פאניקה וטעויות.

טיפ: ב-IR, תמיד אמור ל-AI "רשום את האפשרויות וההשפעות שלהן, תן לי להחליט." המשפט היחיד הזה הופך את הבינה המלאכותית מ"טייס אוטומטי" מסוכן ל"יועץ" בטוח.

זהירות: לבידוד מערכת, נעילת חשבון או מחיקת ראיות עלולות להיות השלכות בלתי הפיכות ולהשפיע על הליכים משפטיים/משפטיים. החלטות אלו מתקבלות באישור צוות המענה המוסמך ובמידת הצורך המשפטי והניהולי; פלט AI הוא הצעה, לא פקודה.

לסיכום

מענה לאירועים מצריך קבלת החלטות מהירה וממושמעת גם בלחץ וגם כשהשעון מתקתק. בינה מלאכותית מגבירה מאוד את המהירות הזו עם סיכום ראיות, בניית ציר זמן, מיון סיבות שורש וניסוח ספרי משחק. אבל הפעולות הקריטיות ביותר של IR - בידוד, נעילת חשבון, כיבוי מערכת, מחיקת/שימור ראיות, הודעה משפטית - הן החלטות בלתי הפיכות שמובילות להפרעה עסקית ולהשלכות משפטיות ואינן ניתנות להאצלה ל-AI. בכל אחד מששת השלבים (הכנה, איתור, בלימה, השמדה, חילוץ, שיעור), בינה מלאכותית מייצרת ניתוח ושרטוט; ההחלטה שייכת לצוות המוסמך. שני כללי זהב: נקה ראיות מבלי לשמר אותן, בידוד תשתית קריטית מבלי למדוד את השפעתה.

משימת יישום

בחר תרחיש מקרה (למשל השתלטות על חשבון לאחר דיוג). תאר ניתוח מ-AI עם תבניות "ציר זמן של אירוע" ו"השערת שורש"; רשום את הראיות שבהן תשתמש כדי לאמת כל שלב בציר הזמן. לאחר מכן, עם תבנית "האפשרות המגבילה", ברגע שיש לך שלוש אפשרויות מגבילות, העריכו את ההשפעה העסקית של כל אחת בעצמכם ושימו לב באיזו מהן הייתם בוחרים ולמה (ומה הייתם עושים קודם כדי לשמר ראיות).

רשימת בדיקה

• [ ] הגבלת AI כשרת אופציות/ניתוח; קיבלתי את ההחלטה האופרטיבית.
• [ ] אימתתי כל שלב בציר הזמן עם ראיות גולמיות, ונישלתי את המצאות.
• [ ] תכננתי את שלב איסוף הראיות (תמונה, זריקת זיכרון) לפני הבידוד/ניקוי.
• [ ] מדדתי לראשונה את ההשפעה העסקית של בידוד עבור תשתית קריטית.
• [ ] התייחסתי להשערות שורשיות כאפשרויות לבדיקה, לא כאל סופיות.
• [ ] הכנתי את ה-Playbook לפני האירוע והגשתי אותו למנהיג ה-IR לאישור.
• [ ] כללתי אישור משפטי/מנהלי במקרים שבהם נדרשת הודעה משפטית.