Dobici:
- Sposobnost normalizacije višestrukih izvora vremenskih oznaka na jednu referencu (UTC) i označavanje anomalija i praznina na super vremenskoj traci s umjetnom inteligencijom
- Sposobnost razlikovanja korelacije i uzročnosti i verifikacije naracije koju je uspostavila umjetna inteligencija povezivanjem svakog događaja s njegovim izvorom
- Sposobnost prepoznavanja rizika kao što su mjerenje vremena, pomicanje sata i praznine u zapisima te njihovo potvrđivanje s više izvora
Postoji samo jedna stvar koja vam govori kada, kako i kojim redoslijedom se zapravo događa kibernetički događaj: vrijeme. Kada je napadač ušao u sustav, koju je datoteku dirao i kada, kada je izvukao podatke — sve se to pohranjuje u različite zapise (datoteke zapisa u koje sustav bilježi događaje) i različite vremenske oznake (timestamp — zapis datuma i vremena kada se događaj dogodio). Analiza vremenskog slijeda raspoređuje te raštrkane vremenske oznake u jednu kronološku pripovijest i postavlja pitanje "što se dogodilo?" Umijeće je odgovoriti na pitanje. U ovoj jedinici vidjet ćemo kako AI pruža veliku brzinu u organiziranju ovih neurednih podataka i gdje vas može zavesti.
Mnoštvo i zamke vremenskih oznaka
Čak i jedna datoteka ima više vremenskih oznaka. Na primjer, datotečni sustav ima MACB oznake: Modified, Accessed, Changed, Born. Osim toga, tu su i zapisi događaja operativnog sustava (Windows Event Log), zapisi web poslužitelja, zapisi vatrozida, zapisi aplikacija i registri (Windows registar - hijerarhijska baza podataka u kojoj se pohranjuju postavke sustava i aplikacija) zapisi.
Najveća zamka je vremenska zona i vremensko pomicanje. Jedan dnevnik bilježi UTC (koordinirano univerzalno vrijeme), drugi lokalno vrijeme; možda je sat sustava netočno postavljen; Napadač je možda namjerno manipulirao vremenskim oznakama (timestomping — krivotvorenje vremenskih oznaka datoteka). Dakle, prije uspostavljanja vremenske crte, mora se odrediti vremenska zona i točnost sata svakog izvora, sve normalizirano na zajedničku referencu (obično UTC).
Oprez: Klasična je pogreška staviti dva dnevnika jedan pored drugog u različitim vremenskim razdobljima i reći "dogodilo se u isto vrijeme". Pretvorite sve vremenske oznake u jednu referencu prije povezivanja; Inače, uzročno-posljedična veza koju je uspostavila AI (i vi) je trula od početka.
Super vremenska linija i AI
U računalnoj forenzici, struktura koja kombinira sve te izvore naziva se super vremenska crta; Često se generira pomoću alata kao što je Plaso/log2timeline i može se sastojati od desetaka tisuća ili čak milijuna redaka. Ovdje stupa umjetna inteligencija: obilježavanje smislenih uzoraka i anomalija na ovom ogromnom grafikonu.
Sigurni doprinosi umjetne inteligencije:
- Označavanje anomalija: pristup izvan radnog vremena, iznenadna eskalacija privilegija, neobičan lanac procesa, višestruke neuspješne prijave u kratkom intervalu.
- Grupiranje događaja: Grupiranje događaja koji su koncentrirani u istom vremenskom prozoru i označavanje kao "ovdje se nešto dogodilo".
- Narativni pregled: Prevođenje potvrđenih događaja u kronološku priču jednostavnog jezika (prvi nacrt za izvješće).
- Otkrivanje praznina: "Nema zapisa u ovom intervalu od 40 minuta — jesu li mogli biti izbrisani?" Pitanje o nedostacima kao što su.
U svakoj, umjetna inteligencija stvara hipoteze; Dokazujete uzročnost i dokaznu vrijednost.
Savjet: kada dajete vremensku crtu umjetnoj inteligenciji, prvo joj jasno recite vremensku zonu i format: "Sve vremenske oznake su u UTC, ISO 8601 formatu." Prvo normalizirajte mješovite formate; Dopustiti umjetnoj inteligenciji da pogodi format je poziv na pogrešku.
Korelacija nije uzročnost
Najopasnija logička pogreška u analizi vremena je mišljenje da je sukcesija uzrok i posljedica. "USB je umetnut u 22:10, datoteka je kopirana u 22:12" dva događaja se mogu dogoditi uzastopno, ali ne dokazuju da je ista osoba to učinila za istu svrhu; Možda postoji još jedno objašnjenje. Iako umjetna inteligencija konstruira tečnu pripovijest, ona ne vidi ovu prazninu i može proizvesti točnu rečenicu poput "Podaci su ukradeni putem USB-a." Posao stručnjaka je eliminirati alternativna objašnjenja i poduprijeti svaki korak neovisnim dokazima.
tri mini kućišta
Slučaj 1 — Uhvaćeno pomicanje sata. U jednom slučaju, dnevnik web poslužitelja i dnevnik vatrozida izgledali su drugačije 3 sata. U prvom nacrtu, AI je razmatrao ova "dva odvojena napada". Stručnjak je otkrio da je vremenska zona poslužitelja pogrešno postavljena; Kada se normaliziraju, dva dnevnika stanu u jedan događaj. Nestala je "fantomska razlika" od 3 sata.
Slučaj 2 — Praznina je otkrila brisanje. U super vremenskoj liniji od 1,1 milijuna linija, AI je označio da nema zapisa između 02:30-03:10. Stručnjak je pregledao: U ovom su prozoru sigurnosni zapisnici namjerno izbrisani (brisanje dnevnika). Sama praznina postala je jedan od najjačih dokaza napada.
Slučaj 3 — Halucinacija je izmislila događaj. Dok je pravio sažetak, YZ je rekao: "Administratorski račun je kreiran u 03:45." Stručnjak je pogledao izvor: nije postojao takav ID događaja — broj u zapisnicima sustava Windows koji označava vrstu događaja; AI je spojio dvije različite linije i proizveo događaj koji nije postojao. Korak povezivanja s izvorom spriječio je lažni narativ.
Četiri predloška za kopiranje
1) Plan normalizacije vremena:
Vaša uloga: forenzički analitičar vremenske linije. Dat ću vam vremenske oznake iz različitih izvora (formati i vremenska razdoblja mogu se razlikovati). Prvo odredite format i vremensku zonu svakog izvora, a zatim osmislite plan kako ih sve pretvoriti u UTC / ISO 8601. Označite vremensku zonu u koju niste sigurni kao "potrebna je potvrda".
2) Označavanje anomalije:
Kontekst: poslužitelj poduzeća, normalno radno vrijeme 08:00-18:00 (UTC+3). Dat ću vam normalizirani popis događaja. Na temelju samo zapisa koji se STVARNO pojavljuju na popisu, označite sljedeće: pristup izvan radnog vremena, eskalaciju privilegija, više puta neuspješnu prijavu, neobičan lanac procesa. Za svaki znak navedite odgovarajući redak. Dodavanje tumačenja/uzročnosti; Ja ću to procijeniti.
3) Narativni pregled (za izvješće):
Ispod su događaji koje sam PROVJERIO (svaki sa svojim izvorom). Pretvorite ih u jednostavnu, kronološku pripovijest. Koristite samo događaje koje ja dam; dodavanje novog događaja, predviđanja ili uzročnosti. Napišite nejasne veze jezikom koji ih karakterizira kao "moguće".
4) Skeniranje nedostataka i nedosljednosti:
U ovoj normaliziranoj vremenskoj traci: (1) označite razdoblja zapisnika koja su očekivana, ali se čini da nedostaju, (2) zapise koji nisu u redu (od budućnosti prema prošlosti), (3) skokove koji se pojavljuju grupno/automatski. Prikaži svaki s odgovarajućim proredom. Istaknite da ovo mogu biti ZNAKOVI brisanja/manipulacije, ali nisu dokaz.
Slab upit / Jak upit
Slab upit:
Sažmite ove zapise i objasnite što se dogodilo.
Nema ograničenja vremenskog okvira, izvora ili "samo stvarno snimanje"; AI može konstruirati tečnu, ali izmišljenu priču.
Snažan upit:
Vaša uloga: analitičar forenzičkih dnevnika. Izvor: 3 zapisa (Windows Security, Apache pristup, vatrozid), svi normalizirani na UTC, ISO 8601. Zadatak: kronološki navedite događaje od 14. ožujka 21:00-23:00 samo na temelju zadanih redaka; citirajte svaki redak s izvorom i ID-om/kodom događaja. Uspostavljanje korelacije, tvrdnja o kauzalnosti; komentirat ću. Zasebno označite intervale koje vidite kao nedostajuće ili neuobičajene.
Ograničenja izvora, normalizirane reference, "samo dati red" i "uspostavi uzročnost" čine izlaz branjivim.
Tablica izvora vremenskih oznaka
Izvor
Primjer vremenske oznake
Pažnja
Datotečni sustav (MACB)
Izmijeniti/pristupiti/stvoriti
Otvoren za mjerenje vremena
Windows Dnevnik događaja
Prijava, proces, servisni događaji
Potvrdite ID događaja
dnevnik web poslužitelja
vrijeme zahtjeva
provjera vremenske zone
vatrozid/mreža
veza, odbijanje
Sinkronizacija sata (NTP)
Registar
Vrijeme posljednjeg pisanja
Komentar zahtijeva stručnost
Aplikacija/preglednik
povijest, predmemorija
može biti lokalno vrijeme
Uobičajene greške
- Uspostavljanje korelacije bez normalizacije vremenskog razdoblja. Različiti odsječci stvaraju lažnu "istodobnost".
- Zamjena korelacije za uzročnost. Uzastopni događaji ne znače istog počinitelja/svrhu.
- Apsolutno povjerenje u vremensku oznaku. Timestoming i netočno vrijeme su mogući; Potvrdite s više izvora.
- Ne provjerava događaj koji je AI sastavio. Unija dviju linija može proizvesti nepostojeći događaj.
- Ignoriranje praznina. Dnevnik koji nedostaje često je najvažniji dokaz.
Ukratko
Analiza vremenske trake je čin spajanja razbacanih vremenskih oznaka u jedinstvenu kronologiju koja se može provjeriti. AI pruža veliku brzinu u označavanju anomalija, klasteriranju, otkrivanju praznina i izradi narativa preko supervremenskih crta od milijun redaka. Ali normalizacija vremenskog razdoblja, razlikovanje korelacije i uzročnosti i pripisivanje svakog događaja izvoru pripadaju ljudima. AI stvara hipoteze; Ti si taj koji na sudu brani kronologiju.
Zadatak aplikacije
Pripremite ogledni popis događaja od 15-20 redaka u različitom formatu i vremenskoj zoni (namjerno uključite vremenski pomak i razmak). Najprije ih sve pretvorite u UTC s predloškom "Plan normalizacije vremena". Zatim primijenite predloške "Označavanje anomalije" i "Skeniranje praznina" i provjerite pomak sata i prazninu koju je zabilježio AI na izvoru.
popis za provjeru
- [ ] Normalizirao sam sve vremenske oznake na jednu referencu (UTC).
- [ ] Povezao sam svaki događaj s njegovim izvorom (datoteka/ID događaja/redak).
- [ ] Napravio sam razliku između korelacije i uzročnosti; Razmotrio sam alternativna objašnjenja.
- [ ] Označio sam praznine u zapisima i neobične zapise.
- [ ] Potvrdio sam događaje koje je AI konsolidirao/sažeo u izvornoj snimci.