लाभ:
- यह समझने की क्षमता कि कृत्रिम बुद्धिमत्ता तीन स्तरों (रणनीतिक, सामरिक, तकनीकी) पर लंबी खतरे की रिपोर्ट का सारांश प्रस्तुत करती है और आईओसी और टीटीपी निकालकर उन्हें MITER ATT&CK पर मैप करती है।
- प्रत्येक IOC को वर्तमान और दूसरे स्वतंत्र स्रोत, ATT&CK में प्रत्येक तकनीक के साथ सत्यापित करने और निर्मित IOC/तकनीक/समूह निकालने की क्षमता
- यह समझने की क्षमता कि समूह एट्रिब्यूशन सबसे जोखिम भरा दावा है, कि 'सटीक समूह' के बजाय 'तकनीकों के साथ संगत' भाषा का उपयोग किया जाना चाहिए और बचाव स्थायी टीटीपी निर्धारण पर आधारित होना चाहिए।
एक सुरक्षा दल अकेले ही अपने द्वारा देखे गए हमलों से नहीं लड़ता; दुनिया भर में होने वाले हमलों का ज्ञान साझा करके सीखता है। थ्रेट इंटेलिजेंस (संक्षेप में टीआई) हमलावरों, उनके द्वारा उपयोग किए जाने वाले उपकरणों, उनके लक्ष्यों और तरीकों के बारे में एकत्रित, संसाधित और कार्रवाई में परिवर्तित की गई जानकारी है। "कौन सा मैलवेयर अब फैल रहा है?", "यह हमलावर समूह किस क्षेत्र को लक्षित कर रहा है और यह कैसे कार्य करता है?", "क्या यह आईपी पता पहले किसी हमले में देखा गया है?" इस तरह के सवालों के जवाब खतरे की खुफिया जानकारी से मिलते हैं।
समस्या यह है कि खतरे की खुफिया जानकारी प्रचुर मात्रा में और बिखरी हुई है: रिपोर्ट, ब्लॉग, फ़ीड, फ़ोरम, हजारों आईओसी। एआई इस स्टैक को समझने में शक्तिशाली है: यह लंबी खतरे की रिपोर्टों का सारांश देता है, किसी हमले की कहानी से संरचित आईओसी और टीटीपी को निकालता है, उन्हें एमआईटीईआर एटीटी और सीके ढांचे में मैप करता है, और पूछता है "क्या यह हमें चिंतित करता है?" प्रश्न का पहला प्रारूप तैयार करता है। लेकिन एआई पुरानी, गलत, या संदर्भ से बाहर की खुफिया जानकारी को सच मान सकता है, एक गैर-मौजूद खतरा समूह या आईओसी बना सकता है, और यह नहीं जान सकता कि खुफिया जानकारी वास्तव में आपके संगठन के लिए मान्य है या नहीं। एआई बुद्धिमत्ता का सारांश, संरचना और मानचित्रण करता है; यह विश्लेषक पर निर्भर है कि वह आईओसी को ब्लॉकलिस्ट करे, एजेंसी पर खुफिया जानकारी लागू करे और रिपोर्ट को "कार्रवाई योग्य" घोषित करे।
ख़तरे की ख़ुफ़िया जानकारी की परतें
खतरे की खुफिया जानकारी तीन स्तरों पर मानी जाती है:
- तकनीकी/परिचालन (आईओसी स्तर): ठोस संकेतक - खराब आईपी, डोमेन, हैश, यूआरएल। यह अल्पकालिक है (हमलावर आईपी बदलता है)। एआई इन्हें रिपोर्ट से निकालने और उनकी संरचना करने में त्वरित है।
- सामरिक (टीटीपी स्तर): हमलावर कैसे व्यवहार करता है - वह किन तकनीकों, उपकरणों, तरीकों का उपयोग करता है। यह अधिक स्थायी है (व्यवहार को बदलना कठिन है)। MITER ATT&CK इस स्तर की सामान्य भाषा है।
- रणनीतिक: कौन, क्यों, किस क्षेत्र को, किस प्रवृत्ति से निशाना बना रहा है। यह प्रबंधन निर्णयों को फीड करता है। एआई इस स्तर पर लंबी रिपोर्टों का सारांश प्रस्तुत करता है।
शर्तें: आईओसी (समझौते का संकेतक - उल्लंघन का संकेतक, ठोस तकनीकी निशान)। टीटीपी (रणनीति, तकनीक, प्रक्रियाएं - व्यवहार पैटर्न)। MITER ATT&CK, हमलावर तकनीकों की एक क्रमांकित, प्रलेखित लाइब्रेरी (जैसे T1566 "फ़िशिंग")। एपीटी (एडवांस्ड परसिस्टेंट थ्रेट - उन्नत, लगातार, अक्सर राज्य प्रायोजित हमलावर समूह)। फ़ीड, स्वचालित रूप से अद्यतन IOC स्ट्रीम। गलत आरोप लगाना, हमले के लिए गलत समूह को जिम्मेदार ठहराना; यह बुद्धि की सबसे आम गलती है.
खुफिया स्रोत मूल्यांकन चार्ट
कसौटी
पूछने के लिए प्रश्न
यह महत्वपूर्ण क्यों है?
वर्तमानता
यह कब प्रकाशित हुआ था? क्या यह अभी भी वैध है?
आईओसी जल्दी ही अप्रचलित हो जाते हैं
स्रोत विश्वसनीयता
इसे किसने प्रकाशित किया, इसकी प्रतिष्ठा क्या है?
ढेर सारी झूठी/मनगढ़ंत जानकारी
प्रासंगिकता
क्या यह हमें/हमारे उद्योग को लक्षित करता है?
हर ख़तरा आपका ख़तरा नहीं होता
सत्यापनीयता
क्या कोई दूसरा स्रोत इसकी पुष्टि करता है?
एक स्रोत पर्याप्त नहीं है
क्रियाशीलता
मैं क्या कर सकता हूं (ब्लॉक करें, ट्रैक करें, कॉल करें)
ज्ञान को क्रिया में बदलना चाहिए
उद्धरण सटीकता
समूह एट्रिब्यूशन कितना ठोस है?
गलत आरोप लगाना गुमराह करता है
तीन मिनी मामले
केस 1 - 40 पेज की रिपोर्ट से कार्रवाई तक। एक विश्लेषक ने एआई को एक नए रैंसमवेयर अभियान के बारे में 40 पेज की धमकी रिपोर्ट का सारांश दिया है। एआई रिपोर्ट को घटाकर 1 पेज कर देता है, 32 आईओसी (आईपी, हैश, डोमेन) और 7 एमआईटीईआर एटीटी&सीके तकनीक निकालता है, और नोट करता है "यह समूह आपके उद्योग को लक्षित कर रहा है।" विश्लेषक प्रत्येक आईओसी को दूसरे स्रोत से सत्यापित करता है, उन 21 को जोड़ता है जो अभी भी निगरानी सूची में मान्य हैं, तकनीकों के एटीटी और सीके नंबरों की पुष्टि करता है, और इसे एक खतरे की शिकार परिकल्पना में विकसित करता है। एआई ने 40 पृष्ठों को प्रक्रिया योग्य बनाया; सत्यापन और कार्रवाई विश्लेषक की थी।
केस 2 - निर्मित एपीटी समूह। एक विश्लेषक ने एआई से पूछा "किस समूह ने इस हमले को अंजाम दिया?" वह पूछता है. एआई आत्मविश्वास से उत्तर देता है: "यह 'एपीटी-डार्क ईगल' समूह की ज्ञात तकनीक है।" विश्लेषक ज्ञात खतरे वाले खुफिया स्रोतों में इस समूह की तलाश करता है - ऐसा कोई समूह नहीं है, मॉडल ने नाम बनाया है। यदि उन्होंने इसकी पुष्टि नहीं की होती, तो रिपोर्ट गलत आरोप के साथ बाहर चली गई होती। पाठ: समूह एट्रिब्यूशन सबसे आसान और जोखिम भरा दावा है; इसे हमेशा किसी ज्ञात स्रोत द्वारा सत्यापित किया जाता है और अक्सर इसे "सटीक एट्रिब्यूशन" के बजाय "निम्नलिखित तकनीकों के साथ संगत" के रूप में संदर्भित किया जाता है।
केस 3 - पुराने आईओसी के साथ गलत अवरोधन। एक टीम ने एआई से पूछा कि महीनों पहले एक रिपोर्ट से प्राप्त आईपी की सूची को "क्या हमें ब्लॉक नहीं करना चाहिए"? वह पूछता है; एआई कहता है "हां, वे दुर्भावनापूर्ण हैं।" लेकिन विश्लेषक देखता है कि आईपी में से एक अब वैध क्लाउड प्रदाता (सीडीएन) का है; उस आईपी को ब्लॉक करने से संगठन द्वारा एक्सेस की जाने वाली वैध सेवाएं भी बंद हो जाएंगी। आईओसी अल्पकालिक होते हैं। विश्लेषक वर्तमानता की पुष्टि करता है और पुराने को हटा देता है। पाठ: यह तब तक ब्लॉकलिस्ट में नहीं जाता जब तक कि IOC इसकी वर्तमानता की पुष्टि नहीं कर देता।
कमजोर संकेत/मजबूत संकेत
कमजोर संकेत:
यह हमला किसने किया और मुझे कौन से आईपी को ब्लॉक करना चाहिए? [रिपोर्ट]
यह अनुरोध एआई से सटीक एट्रिब्यूशन और प्रत्यक्ष अवरोधन निर्णय मांगता है, यह समयबद्धता और सत्यापन की मांग नहीं करता है, यह निर्माण के लिए खुला है। एआई एक ठोस लेकिन गलत श्रेय और पुरानी आईओसी सूची दे सकता है।
शक्तिशाली संकेत:
आपकी भूमिका: खतरे की खुफिया सारांश और कॉन्फ़िगरेशन तैयार करने वाले विश्लेषक के सहायक। निर्णय लेना; "ब्लॉक" न कहें, विशिष्ट समूह संदर्भ न बनाएं। निम्नलिखित रिपोर्ट को संसाधित करें:(1) 1-पृष्ठ सारांश निकालें (कौन, क्या, लक्ष्य, विधि),(2) आईओसी की संरचित सूची (आईपी, डोमेन, हैश, यूआरएल); प्रत्येक के लिए "[वर्तमानता और द्वितीयक स्रोत को सत्यापित किया जाना चाहिए]" चिह्नित करें; डमी IOC जोड़ें,(3) MITER ATT&CK में टीटीपी मैप करें लेकिन प्रत्येक टी-नंबर को "[ATT&CK में पुष्टि करें]" चिह्नित करें,(4) एट्रिब्यूशन के लिए "सटीक समूह" न कहें; "इन तकनीकों के अनुकूल" भाषा का प्रयोग करें और साक्ष्य की ताकत बताएं, (5) प्रश्न लिखें कि यह बुद्धिमत्ता हमारे उद्योग/वास्तुकला पर क्यों लागू हो सकती है। रिपोर्ट: [चिपकाएँ]
मजबूत दावा सारांश + संरचना मांगता है, प्रत्येक आईओसी/टीटीपी को सत्यापन के लिए छोड़ देता है, सटीक श्रेय को प्रतिबंधित करता है, प्रासंगिकता पर सवाल उठाता है।
कॉपी करने योग्य शीघ्र टेम्पलेट
रिपोर्ट सारांश टेम्पलेट निम्नलिखित खतरे की रिपोर्ट को 3 स्तरों पर सारांशित करें: (1) रणनीतिक (कौन, क्यों, लक्ष्य क्षेत्र), (2) सामरिक (टीटीपी का उपयोग), (3) तकनीकी (आईओसी के प्रकार)। 1 पृष्ठ से अधिक न हो। ऐसा कोई भी दावा शामिल न करें जिसे आपने रिपोर्ट से नहीं हटाया हो; निर्माण.रिपोर्ट: [पेस्ट करें]
आईओसी निष्कर्षण टेम्पलेट निम्नलिखित पाठ से संरचित आईओसी निकालता है: प्रकार (आईपी/डोमेन/हैश/यूआरएल/ईमेल), मूल्य, संदर्भ। केवल वही लें जो पाठ में स्पष्ट रूप से कहा गया है; फिटिंग. प्रत्येक आईओसी के लिए "[वर्तमान + द्वितीयक स्रोत सत्यापित होना चाहिए]" को जांचें। सारणीबद्ध रूप में सत्यापित करें। पाठ: [पेस्ट करें]
ATT&CK मिलान टेम्पलेट हमले की कहानी में व्यवहारों को MITER ATT&CK रणनीति और तकनीकों से मैप करें। प्रत्येक मैपिंग के लिए: व्यवहार उद्धरण + सुझाई गई तकनीक का नाम +"[टी-नंबर की पुष्टि ATT&CK में की जानी चाहिए]"। कोई मनगढ़ंत तकनीक/नंबर न दें; यदि आप निश्चित नहीं हैं, तो "[अस्पष्ट]" लिखें। कथन: [चिपकाएँ]
प्रासंगिकता मूल्यांकन टेम्पलेट मुझे यह मूल्यांकन करने में सहायता करें कि क्या निम्नलिखित खतरे की खुफिया जानकारी हमारे संगठन पर लागू होती है: प्रश्न उत्पन्न करें कि हमारी कौन सी संपत्ति लक्ष्य प्रौद्योगिकी/उद्योग से मेल खाती है। निर्णय लेना; मुझे एक चेकलिस्ट दीजिए. खुफिया सारांश: [पेस्ट करें]
सामान्य गलतियाँ
- सटीक समूह एट्रिब्यूशन बनाना. एट्रिब्यूशन सबसे कठिन और सबसे गलत समझा जाने वाला क्षेत्र है; "बिल्कुल वह समूह" के बजाय, "इन तकनीकों के साथ संगत" कहें और स्रोत से पुष्टि करें।
- मुद्रा की पुष्टि किए बिना IOC को ब्लॉक करना। आईओसी अल्पकालिक होते हैं; एक पुराना आईपी अब वैध सेवा से संबंधित हो सकता है, पहले ताजगी की जांच करें।
- किसी एक स्रोत पर भरोसा करना. किसी दूसरे स्वतंत्र स्रोत से खुफिया जानकारी की पुष्टि करें; बहुत सारी झूठी/मनगढ़ंत बुद्धि है।
- प्रासंगिकता पर सवाल नहीं उठा रहे. हर ख़तरा आपका ख़तरा नहीं है; उद्योग, प्रौद्योगिकी और वास्तुकला के ओवरलैप को देखें।
- आईओसी/तकनीक/समूह को यह सोचकर बनाना कि यह सच है। एआई उन्हें धाराप्रवाह रूप से अनुकूलित कर सकता है; प्रत्येक को ज्ञात स्रोत और MITER ATT&CK पर सत्यापित करें।
टिप: खतरे की खुफिया जानकारी की सबसे स्थायी और मूल्यवान परत टीटीपी है, आईओसी नहीं। हमलावर एक दिन में अपना आईपी बदल लेता है, लेकिन उसके व्यवहार पैटर्न (टीटीपी) को बदलना मुश्किल होता है। टीटीपी का पता लगाने पर अपना बचाव बनाएं, आईओसी अवरोधन पर नहीं।
सावधानी: IOC को ब्लॉकलिस्ट में डालने से वैध ट्रैफ़िक भी बाधित हो सकता है (गलत सकारात्मक अवरोधन)। किसी समूह पर गलत तरीके से उंगली उठाने से संसाधन गलत दिशा में बर्बाद होते हैं। इंटेलिजेंस एक इनपुट है; सत्यापन के बाद ब्लॉकिंग और एट्रिब्यूशन का निर्णय विश्लेषक पर निर्भर करता है।
संक्षेप में
खतरे की खुफिया जानकारी संगठन को अकेले नहीं बल्कि दुनिया के अनुभव से लड़ने में सक्षम बनाती है; लेकिन चूँकि यह असंख्य, अस्त-व्यस्त और परिवर्तनशील है, इसलिए इसकी व्याख्या की आवश्यकता है। एआई तीन स्तरों (रणनीतिक, सामरिक, तकनीकी) पर लंबी रिपोर्टों का सारांश देता है, आईओसी और टीटीपी को निकालता है, एमआईटीईआर एटीटी एंड सीके को मैप करता है और प्रासंगिक रूपरेखा प्रदान करता है। सबसे बड़े जोखिम: बनी-बनाई आईओसी/तकनीक/समूह, सटीक लेकिन गलत आरोप, और अप्रचलित आईओसी। यही कारण है कि प्रत्येक IOC को वर्तमानता और दूसरे स्रोत से मान्य किया जाता है, प्रत्येक तकनीक को ATT&CK में सत्यापित किया जाता है; संदर्भ "तकनीकों के साथ संगत" भाषा में दिया गया है न कि "निश्चित समूह" में; और ब्लॉक करने/लागू करने का निर्णय विश्लेषक का है। रक्षा का केंद्र स्थायी टीटीपी का पता लगाना है, न कि अल्पकालिक आईओसी का।
आवेदन कार्य
सार्वजनिक नमूना ख़तरे की रिपोर्ट प्राप्त करें. "रिपोर्ट सारांश" और "आईओसी निष्कर्षण" टेम्पलेट्स के साथ एआई से आईओसी की सारांश और संरचित सूची निकालें। किसी ज्ञात स्रोत पर 5 आईओसी की मुद्रा और प्रामाणिकता की जांच करें; कम से कम एक पुरानी या संदिग्ध IOC खोजने का प्रयास करें। MITER ATT&CK साइट पर "ATT&CK मिलान" टेम्पलेट के साथ जारी तकनीकों के टी-नंबरों को सत्यापित करें और यदि कोई नकली/झूठा नंबर हो तो उसे पकड़ें।
चेकलिस्ट
- [ ] मैंने रिपोर्ट को तीन स्तरों (रणनीतिक, सामरिक, तकनीकी) पर सारांशित किया।
- [ ] मैंने प्रत्येक आईओसी को मुद्रा और एक दूसरे स्वतंत्र स्रोत से सत्यापित किया है।
- [ ] मैंने आधिकारिक स्रोत में प्रत्येक MITER ATT&CK तकनीक/ट्रिक को सत्यापित किया है।
- [ ] मैंने समूह संदर्भ को "सटीक" के बजाय "तकनीकों के अनुरूप" की भाषा में संबोधित किया है।
- [ ] मैंने अपने संस्थान (क्षेत्र, प्रौद्योगिकी, वास्तुकला) के लिए बुद्धिमत्ता की प्रासंगिकता पर सवाल उठाया।
- [ ] मैंने प्रत्येक दावे की तथ्य-जांच की है, यह जानते हुए कि यह आईओसी/तकनीक/समूह से बना हो सकता है।
- [ ] मैंने सत्यापन के बाद एक विश्लेषक के रूप में ब्लॉक करने और लागू करने का निर्णय लिया।