End-to-end SOC tijek rada, automatizacija (SOAR), upravljanje kvalitetom i samoprovjera — Umjetna inteligencija u kibernetičkoj sigurnosti

Dobici:

Sposobnost dizajniranja end-to-end tijeka rada SOC-a koji se sastoji od prikupljanja, otkrivanja, trijaže, istrage, intervencije, poboljšanja, izvješćivanja i povratnih informacija, određivanja lokacije umjetne inteligencije i ljudskih vrata
Sposobnost odvajanja automatizacije prema razini rizika (niskorizični/reverzibilni koraci su automatski, visokorizične/nepovratne korake kontroliraju ljudi) i dizajniranje povratnog puta za svaku automatsku radnju.
Sposobnost uspostavljanja petlje samonadzora i povratne sprege koja redovito mjeri stopu lažno pozitivnih/negativnih rezultata, MTTD/MTTR, točnost izlaza i odstupanje modela

Ova posljednja jedinica kombinira dijelove koje smo odvojeno naučili tijekom modula - analizu dnevnika, traženje prijetnji, upravljanje ranjivostima, odgovor na incidente, krađu identiteta, pregled koda, obavještavanje, izvješćivanje - u jedan tijek rada od početka do kraja. U pravom sigurnosnom operativnom centru (SOC), ovi koraci nisu isključeni; Alarm pokreće istragu, koja pokreće odgovor, koja pokreće izvješće, koja pokreće sanaciju. Umjetna inteligencija uključena je u svaku kariku ovog lanca, ali čovjek je taj koji drži lanac i donosi odluke na svim kritičnim vratima.

Osim toga, ova jedinica pokriva dvije ključne teme. Prva je automatizacija: kada se SOAR (Sigurnosna orkestracija, automatizacija i odgovor — platforma koja automatizira i organizira sigurnosne procese) i AI kombiniraju, povećavaju se i snaga i rizik; Potrebno je razlikovati ono što se može automatizirati i ono što se nikada ne može ukloniti iz ljudskog odobrenja. Drugo, upravljanje kvalitetom i samoregulacija: sigurnosna operacija omogućena umjetnom inteligencijom ne postavlja se i ne napušta jednom; stalno se prati, mjeri, vraća i ispravlja. Automatizacija povećava brzinu, ali ne eliminira odgovornost; Sigurnosni program ostaje siguran samo kroz redoviti samonadzor.

End-to-end SOC tijek rada

Pogledajmo gdje AI dolazi u igru i tko ga odobrava u tipičnom životnom ciklusu incidenta:

Prikupljanje i praćenje: Dnevnici prolaze u SIEM; AI smanjuje buku, sažima. (Automatski, niski rizik.)
Detekcija i alarm: Pravilo + anomalija + AI uzorak detekcije. (Automatska proizvodnja; trijaža je kod ljudi.)
Trijaža: Je li alarm pravi ili lažno pozitivan? AI predlaže obrazloženje i prioritet; potvrđuje analitičar. (Ljudska vrata.)
Istraga: AI prikuplja dokaze, utvrđuje vremenski okvir, navodi glavni uzrok; analitičar potvrđuje sirovim dokazima. (Ljudska vrata.)
Intervencije: Izolacija, zaključavanje, čišćenje. AI pruža izbor/utjecaj; Odluka je u rukama ovlaštenog analitičara. (Kritična ljudska vrata.)
Sanacija: Zatvaranje ranjivosti, uklanjanje uzroka. nacrt plana AI; odobrenje u upravljanju promjenama. (Čovjek + proces.)
Izvještavanje: AI piše nacrt, prilagođava se publici; Vještak ovjerava i potpisuje dokaze. (Ljudska vrata.)
Učenje lekcija i povratne informacije: AI izdvaja uzorke; Ažurira pravila za otkrivanje tima i priručnike. (Čovjek + proces.)

Pravilo ovog lanca: niskorizični, ponavljajući, reverzibilni koraci mogu se automatizirati; Visoko rizični, nepovratni koraci koji zahtijevaju procjenu prolaze kroz ljudska vrata.

Tablica odluka automatizacije

korak

Može li se automatizirati

stanje

ljudsko odobravanje

Prikupljanje dnevnika, normalizacija

Da, točno

—

nije potrebno

Obogaćivanje alarma (IOC pretraga)

Izvor je pouzdan

Pregledava se

Lažno pozitivna eliminacija (poznato dobro)

djelomično

strogo pravilo

Pregledano uzorkovanjem

Krađa e-pošte u karanteni

djelomično

visoka preciznost

Pregled + povratni put

Automatsko zaključavanje računa

oprezan

Samo jasni kriteriji

Brza ljudska provjera

Izolirajte poslužitelj

Općenito ne

Osim kritične infrastrukture

Prisilna ljudska odluka

Krpanje (proizvodnja)

—

Testiranje + upravljanje promjenama

Službeno izvješće/obavijest

—

Stručnjak + zakon

Upravljanje kvalitetom i samoocjenjivanje

Sigurnosna operacija koju pokreće umjetna inteligencija živi je sustav; njegova se izvedba mijenja tijekom vremena (novi napadi, promjena okruženja, ažuriranja modela). Za sigurnost je potrebno redovito mjerenje:

Stopa lažno pozitivnih i lažno negativnih rezultata: Koliko često AI uzalud uzbunjuje, koliko često promašuje pravu prijetnju? Posebno se promatraju lažno negativni rezultati jer tiho uzrokuju štetu.
MTTD/MTTR: Poboljšavaju li se prosječna vremena otkrivanja i odgovora?
Točnost AI izlaza: Uzorkovanjem, koliko AI-jevih sažetaka/nalaza/citata prolazi provjeru valjanosti?
Sigurnost automatizacije: Rade li automatske akcije prema očekivanjima, postoje li lažni okidači, rade li vraćanja?
Petlja povratnih informacija: postaju li stvarni pronađeni događaji nova pravila otkrivanja, a pokrenuti alarmi popisi izuzetaka?

Uvjeti: MTTD (srednje vrijeme do otkrivanja). Povratna sprega je kada operacija uči iz vlastitih rezultata i ažurira svoja pravila. Odstupanje modela je kada AI zastari, a performanse opadaju kako se mijenja okruženje. Samoprovjera je redoviti, kritički pregled vlastitih procesa tima.

tri mini kućišta

Slučaj 1 — Ispravna automatizacija. SOC automatizira korak "automatskog obogaćivanja i određivanja prioriteta upozorenja koja odgovaraju poznatim zlonamjernim IOC-ovima i nalaze se u kategoriji niskog rizika"; ali uvijek ostavlja korak "izoliranja poslužitelja" za ljudsko odobrenje. Rezultat: analitičari su oslobođeni 400 rutinskih alarma dnevno, oslobađajući vrijeme za stvarne istrage, prepuštajući ključne odluke ljudima. Desni dio lanca je automatski, pravo mjesto je čovjek.

Slučaj 2 — Automatizacija se izjalovila. Drugi SOC definira pravilo "automatskog zaključavanja računa pri sumnjivoj prijavi" vrlo široko. Jednog dana, zbog konfiguracijske pogreške, pravilo zaključava 1200 legitimnih korisnika odjednom i rad se zaustavlja; Štoviše, put oporavka nije definiran. Lekcija: visokoučinkovita automatizacija mora imati stroge kriterije, postupnu implementaciju i putanju vraćanja. Automatizacija bi trebala biti reverzibilna i nadzirana kroz samoregulaciju.

Slučaj 3 — Iskliznuće uhvaćeno samokontrolom. U tromjesečnoj samokontroli, tim primjećuje da se točnost otkrivanja phishinga umjetne inteligencije smanjuje: novi val phishinga je propušten jer se ne uklapa u stare obrasce (pattern drift). Tim prikuplja uzorke, ažurira pravila detekcije i osvježava kontekst dan umjetnoj inteligenciji. Bez redovite samokontrole, ovo tiho izbjegavanje moglo bi trajati mjesecima. Pouka: samo zato što je učinak dobar jednom, ne ostaje uvijek dobar; mjerenje i povratna informacija su bitni.

Slab upit / Jak upit

Slab upit:

Potpuno automatizirajte naš SOC i pustite AI da upravlja svime.

Ovaj zahtjev zahtijeva automatizaciju bez razlikovanja rizika, zanemaruje ljudska vrata i ne uzima u obzir vraćanje i kontrolu. Ako se provedu, visokorizične odluke postat će automatizirane bez nadzora i pretvorit će se u katastrofu pri prvoj pogrešci.

Snažan upit:

Vaša uloga: Konzultant u dizajnu SOC procesa. [Navedite] ove korake životnog ciklusa događaja u tri na temelju razine rizika: (A) potpuno automatiziran (nizak rizik, reverzibilan, ponavljajući), (B) AI preporučuje + čovjek odobrava, (C) uvijek ljudska odluka (visok rizik, nepovratno). Predložite obavezni put povratka i metriku praćenja za svaki (A) i (B). Također izradite tromjesečni kontrolni popis za samoprovjeru: lažno pozitivna/negativna stopa, MTTD/MTTR, uzorkovanje točnosti AI izlaza, znakovi pomaka uzorka.

Velika potražnja razdvaja automatizaciju prema razini rizika, zahtijeva vraćanje i praćenje te uspostavlja okvir samoregulacije.

Predlošci upita koji se mogu kopirati

PREDLOŽAK ODJELJIVANJA RIZIKA AUTOMATIZACIJE Razdvojite ove korake sigurnosnog tijeka rada u tri: (A) potpuno automatizirano prikladno, (B) preporučuje čovjek odobrava, (C) uvijek ljudska odluka. Napišite obrazloženje, reverzibilnost i poslovni učinak za svaki korak. Preporučite obavezni put vraćanja za korake s velikim utjecajem. Koraci: [popis]

PREDLOŽAK DIZAJNA ZA POVRAT za automatsku radnju [npr. zaključavanje računa] predlaže siguran dizajn: kriteriji okidača (uski), postupna implementacija, korak vraćanja lažnog okidača, upozorenje i ljudska točka provjere. Dizajnirajte tako da izbjegnete slijepu automatizaciju. Akcija: [pisati]

PREDLOŽAK KONTROLNOG POPISA ZA SAMOPROVJERU Nacrtajte tromjesečni kontrolni popis za samoprovjeru za SOC koji pokreće AI: lažno pozitivna/negativna stopa, pristranost MTTD/MTTR, uzorkovanje točnosti AI izlaza, lažni okidači automatizacije, znakovi pomaka uzorka, rad povratne petlje, usklađenost privatnosti/anonimizacije. Za svaku stavku napišite kako će se mjeriti.

PREDLOŽAK POVRATNE PETLJE Nacrtajte ono što je naučeno iz stvarnog događaja/alarma koji nije uspio: (1) obrazac koji će postati novo pravilo otkrivanja, (2) lažno pozitivan koji će biti dodan na popis iznimaka, (3) korak priručnika koji će se ažurirati, (4) novi kontekst koji će se dati AI-ju. Sažetak događaja/alarma: [zalijepi]

Uobičajene greške

Automatizacija visokorizičnog koraka. Nepovratni koraci kao što su izolacija poslužitelja, proizvodno krpanje, službena obavijest ne uklanjaju se s ljudskih vrata.
Ne smišljajući put do povratka. Moguće je da se bilo koja automatska radnja neispravno pokrene; Automatizacija bez točke poništavanja i potvrde je opasna.
Postavi i zaboravi. Performanse umjetne inteligencije mijenjaju se kako se mijenja okolina; Bez redovite samokontrole i mjerenja, tiha izbjegavanja se gomilaju.
Samo pratim lažno pozitivno. Lažno negativan (stvarna prijetnja koja je propuštena) je opasniji, ali ga je teže vidjeti; Pogledajte privatno.
Zanemarivanje povratnih informacija. Ako se otkriveni događaji ne pretvore u novo pravilo i neuspjeli alarmi ne pretvore u iznimku, operacija ne uči i ponavlja istu pogrešku.

Savjet: Zlatno pitanje u odlučivanju o automatizaciji: "Može li se ova radnja poništiti ako se neispravno pokrene i kakav je učinak na poslovanje?" Ako je odgovor "lako se poništava, mali učinak", automatizirajte; Ako je "nepovratan ili jak utjecaj" držite se ljudskih vrata.

Oprez: Automatizacija ne eliminira odgovornost, samo je ubrzava. Loše osmišljena automatska akcija uzrokuje štetu mnogo brže i šire nego što bi to mogao čovjek. Svaka automatizacija okružena je uskim kriterijima, povratnom putanjom i redovitom inspekcijom; Konačna odgovornost uvijek leži na ljudskom biću.

Ukratko

Ova jedinica kombinirala je sve dijelove modula u SOC tijek rada od kraja do kraja: prikupljanje, otkrivanje, trijaža, istraga, odgovor, sanacija, izvješćivanje i povratne informacije. AI je uključena u svaku kariku, ali čovjek je taj koji drži lanac i donosi odluke na svim kritičnim vratima. Automatizacija (SOAR + AI) povećava snagu; Pravilo je jasno: niskorizični, reverzibilni, ponavljajući koraci postaju automatizirani, visokorizični, nepovratni koraci prolaze kroz ljudska vrata, a svaka automatizacija ima način da se poništi. Konačno, sigurnosni program koji pokreće AI je aktivan: lažni pozitivni/negativni rezultati, MTTD/MTTR, točnost izlaza i odstupanje uzorka redovito se mjere; Ono što se pronađe pretvara se u pravila i priručnike u povratnoj petlji. Automatizacija ubrzava odgovornost, a ne uklanja je; Samokontrola održava sigurnost živom.

Zadatak aplikacije

Napišite životni ciklus incidenta svoje vlastite organizacije (ili oglednog SOC-a). Klasificirajte svaki korak kao A/B/C s predloškom "Automation Risk Separation" i izvedite siguran dizajn automatizacije s predloškom "Rollback Design" za najmanje jedan korak "visokog utjecaja". Zatim izradite tromjesečni kontrolni popis s predloškom "Kontrolni popis za samoprovjeru" i odredite kako ćete mjeriti svaku metriku u svom okruženju.

popis za provjeru

[ ] Svaki korak životnog ciklusa incidenta podijelio sam u A/B/C klasu rizika.
[ ] Zadržao sam visokorizične, nepovratne korake na ljudskim vratima.
[ ] Dizajnirao sam uske kriterije i putanju poništavanja za svaku automatsku radnju.
[ ] Planirao sam pratiti stopu lažno pozitivnih, a posebno lažno negativnih rezultata.
[ ] Planirao sam redovito mjeriti MTTD/MTTR i točnost AI izlaza.
[ ] Uspostavio sam tromjesečni kontrolni popis za samokontrolu za pomicanje uzorka.
[ ] Povezao sam pronađene događaje i bačene alarme s povratnom spregom.

Modul ispit

1. AI trijaža SIEM-a označila je alarm kao 'niski prioritet, vjerojatno lažno pozitivan' i gurnula ga na dno popisa. Što bi analitičar trebao učiniti u vezi s ovim alarmom?

A) I dalje neovisno provjerava alarm i potvrđuje ga neobrađenim dokazima; Analitičar donosi odluku o zatvaranju i bilježi je ✔
B) Umjetna inteligencija automatski isključuje alarm bez da ga pregleda jer kaže da je niskog prioriteta.
C) Prenosi alarm na sljedeću smjenu kakav jest.
D) Samo pogledajte sažetak koji je dala umjetna inteligencija i prođite kroz izvješće

Objašnjenje: AI prioritizacija je preporuka, a ne dijagnoza; Oznaka 'niskog prioriteta' može pokriti pravi napad (lažno negativno). Analitičar ipak mora samostalno provjeriti upozorenje, potvrditi ga sirovim dokazima i sam donijeti odluku o zatvaranju. Negativan rezultat umjetne inteligencije nije jamstvo 'nema prijetnje'.

2. Koju kombinaciju rizika AI pravi pravi napad označava kao 'normalan', a analitičar vjeruje tome i opušta vlastitu analizu?

A) Samo lažno pozitivno i alarmni umor
B) Lažno negativno i pristranost automatizacije (pretjerano oslanjanje na AI) ✔
C) Nedostatak samo izvora dnevnika
D) Samo pogreška pravila SIEM

Objašnjenje: Lažno je negativno ako model promaši stvarnu prijetnju; Pristranost automatizacije je kada analitičar pretjerano vjeruje umjetnoj inteligenciji i odustane od neovisnog pregleda. Kada se to dvoje spoji, raison d'être ljudske kontrole nestaje i napad se može u potpunosti zaobići. Zato se ispituju i područja koja umjetna inteligencija naziva 'čistima'.

3. AI je rekao 'CVE-2024-88888, CVSS 9.8, zakrpa odmah' tijekom trijaže. Što analitičar treba prvo učiniti?

A) CVE smatra pouzdanim i odmah pokreće plan krpanja
B) Samo zato što je CVSS 9.8, stavlja ga na prvo mjesto bez gledanja na druge ranjivosti
C) Provjerava CVE broj i rezultat u zapisu NVD/dobavljača; ✔ Ako nema zapisa, neće biti naveden znajući da bi mogao biti lažan.
D) Bez provjere CVE-a, administrator ga piše u izvješću kao 'kritičnu prijetnju'

Opis: Jezični modeli mogu tečno prilagoditi nepostojeći CVE broj i rezultat (halucinirati). Analitičar mora potvrditi CVE u dnevniku NVD-a/dobavljača i potvrditi njegovu autentičnost i ocjenu prije nego što se posveti rasporedu krpanja. Neprovjereni CVE prvi se povezuje s resursom; Inače će tim gubiti vrijeme jureći zakrpu koja ne postoji.

4. Kako bi se ubrzala istraga incidenta, stručnjak zalijepi neobrađeni zapisnik vatrozida zajedno sa stvarnim internim IP adresama, korisničkim imenima i nazivima VPN poslužitelja u javno dostupan AI alat. Što je tu glavni problem?

A) AI ne može čitati format dnevnika, pa je analiza beskorisna
B) Ako je zapisnik predug, to usporava model.
C) Dnevnici vatrozida ionako nisu prikladni za analizu
D) Pravi IP, imena korisnika i poslužitelja dijele se bez anonimizacije; Ovo je i kršenje KVKK i curenje mrežne karte organizacije ✔

Opis: Sigurnosni podaci su i osobni podaci (korisnik, IP) i korporativna inteligencija koja otkriva površinu napada organizacije (topologija mreže, imena poslužitelja). Davanje toga vanjskom alatu bez anonimiziranja predstavlja kršenje KVKK-a i otkriva mrežnu mapu koja će biti korisna napadaču. Prvo, stvarne vrijednosti su maskirane dosljednim rezerviranim mjestima.

5. Zbog čega se lov na prijetnje smatra dobro osmišljenim?

A) Započinje s konkretnom hipotezom koja se može provjeriti, a pronađeni trag potvrđuje se sirovim dokazima ✔
B) Započinje govoreći umjetnoj inteligenciji 'pronađi postoji li napadač u mojoj mreži'
C) Automatski proglašava svaki nenormalan/rijedak događaj napadom
D) Radi samo kada stigne alarm, nije proaktivan

Objašnjenje: Dobar lov na prijetnje ne počinje alarmom, već konkretnom hipotezom koja se može provjeriti i koja se može, ali i ne mora pokazati istinitom (npr. 'Je li se račun X povezao s više od 50 internih IP adresa tijekom neradnog vremena'). Neodređeno pitanje poput 'Ima li nešto loše na mojoj mreži' ne može se testirati i ostavlja AI da nagađa. Pronađeni trag ne smatra se prijetnjom dok se ne potvrdi sirovim dokazima.

6. Ranjivost ima CVSS ocjenu 9,1 na izoliranom testnom poslužitelju na internoj mreži; Na istom popisu, CVSS 7.5 na poslužitelju otvorenom prema internetu, ali postoji još jedna ranjivost na KEV popisu (koja se zapravo iskorištava). Što je ispravno određivanje prioriteta?

A) Onaj s najvišim CVSS-om (9.1) uvijek se prvi krpa
B) Ranjivost 7.5 na Internetu i popis KEV-a je pomaknuta naprijed; CVSS nije jedini kriterij, izloženost i stvarno zlostavljanje su odlučujući ✔
C) Oba su zakrpana u isto vrijeme i s istim prioritetom, razlika je nepotrebna
D) Nijedan od njih nije zakrpan jer postoji ranjivost na testnom poslužitelju

Objašnjenje: CVSS ne postavlja sam prioritete; stvarni rizik određen je EPSS-om (vjerojatnost eksploatacije), KEV (stvarna eksploatacija) i organizacijskim kontekstom (izloženost, kritičnost, kompenzacijska kontrola). Internetski izložena i stvarno iskorištena (KEV) ranjivost sprječava izoliranu i niskovjerojatnu visoku CVSS ranjivost.

7. U odgovoru na incident, umjetna inteligencija kaže 'Promet koji potječe s IC_HOST_7 je sumnjiv, izolirajte ovaj poslužitelj'. IC_HOST_7 je glavni autentifikacijski poslužitelj ustanove. Što bi analitičar trebao učiniti?

A) Umjetna inteligencija odmah izolira poslužitelj jer tako kaže
B) Prepušta odluku o izolaciji u potpunosti umjetnoj inteligenciji
C) Najprije procijenite utjecaj na poslovanje i uzrok prometa; Ne izolira kritičnu infrastrukturu bez mjerenja njezina utjecaja i donosi odluku kao analitičar ✔
D) Izolira poslužitelj i zatim briše sve zapisnike

Opis: Izolacija je kritična odluka koju je teško poništiti i može dovesti do prekida poslovanja; ne može se prenijeti na umjetnu inteligenciju. Izolacija autentifikacijskog poslužitelja može spriječiti prijavu svih zaposlenika. Analitičar prvo mora procijeniti učinak na poslovanje i uzrok prometa (može biti legitimna transakcija), sam donijeti odluku; Prijedlog umjetne inteligencije ne treba provoditi kao naredbu.

8. U incidentu s ransomwareom, tim želi ponovno izgraditi pogođeni stroj kako bi ga brzo očistio; ali postoje forenzički dokazi (dump memorije, napadački alati) na stroju koji još nisu prikupljeni. Koji je pravi pristup?

A) Stroj se odmah ponovno instalira; dokazi su nebitni
B) Od umjetne inteligencije traži se 'najbrže čišćenje', a upute se primjenjuju naslijepo.
C) Stroj je isključen i bačen jer je dokaz već u dnevniku.
D) Prvo se uzimaju forenzička slika i memorija i dokazi se čuvaju, zatim se provodi čišćenje/oporavak ✔

Objašnjenje: Brzina oporavka ne može nadmašiti očuvanje dokaza. Ponovna instalacija stroja bez prikupljanja dokaza uništava lanac nadzora i osakaćuje sudski proces. Najprije se uzima forenzička slika i dump memorije, zatim se izvodi čišćenje/oporavak. Forenzički koraci nisu delegirani AI.

9. Koji je jedan od najpouzdanijih slojeva tehničke provjere pri analizi sumnjive phishing e-pošte i kako to treba potvrditi?

A) SPF/DKIM/DMARC rezultira zaglavljima e-pošte; Potvrđeno iz neobrađenog naslova, ne iz AI-jevog sažetka ✔
B) Boja i font e-pošte; odlučeno vizualnim dizajnom
C) Kliknite na sumnjivu vezu na živom sustavu i pogledajte stranicu koja se otvara.
D) Umjetna inteligencija kaže da je samo 'phishing' dovoljan dokaz

Objašnjenje: SPF/DKIM/DMARC rezultati u zaglavljima e-pošte jaki su pokazatelji da li e-pošta zapravo dolazi s domene za koju tvrdi; Ako sva tri ne uspiju i pošiljatelj lažira domenu, sumnja postaje jača. Međutim, to bi trebalo potvrditi iz neobrađenog naslova, a ne iz sažetka AI-a. Osim toga, nikada se ne klika na sumnjive veze u živom sustavu.

10. U pregledu koda, AI je predložio popravak za XSS ranjivost i rekao da 'zatvara ranjivost'. Što analitičar/programer treba učiniti?

A) Smatra popravak pouzdanim i stavlja ga izravno u proizvodnju
B) Pregledava popravak, potvrđuje da on zapravo zatvara ranjivost i ne uvodi nove ranjivosti/bugove, te piše test; Tek tada ide u skladište ✔
C) Budući da nije siguran, prepisuje cijelu datoteku umjetnoj inteligenciji i koristi je.
D) Primjenjuje popravak, ali prolazi bez pisanja ikakvih testova

Objašnjenje: Popravak koji je predložio AI nije automatski siguran; Možda neće potpuno zatvoriti ranjivost, može očistiti pogrešan sloj ili može uvesti novu ranjivost/funkcionalnu pogrešku. Svaka zakrpa se pregledava, ocjenjuje da li zapravo zatvara ranjivost i uvodi li nove probleme, te se pišu pozitivni i negativni test slučajevi; Tek tada ulazi u skladište.

11. Prilikom analize napada, umjetna inteligencija je rekla 'ovo je definitivno djelo grupe APT-Dark Eagle'. Koji je pravi pristup u smislu obavještavanja o prijetnjama?

A) Prihvatiti referencu kakva jest i napisati je u izvješću kao 'definitivnog počinitelja'
B) Gradi svoju cjelokupnu obranu na temelju te grupe, a da uopće ne dovodi u pitanje naziv grupe.
C) Koristi jezik 'u skladu s tehnikama' umjesto precizne atribucije, provjerava grupu u poznatim izvorima i uzima u obzir mogućnost izmišljanja ✔
D) Citiranje je uvijek nepotrebno, uopće se ne uzima u obzir

Objašnjenje: Grupno pripisivanje je najteže i najnetočnije područje inteligencije; AI može čak smisliti naziv benda koji ne postoji. Umjesto točne reference, koristi se jezik 'kompatibilan s ovim tehnikama', a naziv grupe je potvrđen u poznatim obavještajnim izvorima. Osim toga, obrana se ne temelji na kratkotrajnim IOC-ima, već na trajnoj detekciji TTP-a.

12. U nacrtu izvješća o incidentu, AI je napisao rečenicu 'napadač je najvjerojatnije bio unutra tri tjedna i izvukao podatke o klijentima'; budući da nema uvjerljivih log dokaza koji bi poduprli ove tvrdnje. Što bi analitičar trebao učiniti?

A) Ostavlja rečenicu kakva jest jer je dramatična i dojmljiva
B) Ostavlja rečenicu, ali dodaje 'umjetna inteligencija je napisala' na kraju
C) Ponovno ispisuje cijelo izvješće umjetnoj inteligenciji i potpisuje ga bez provjere.
D) Ispravlja tvrdnje na temelju dokaza; Pravi razliku između 'moguće/dokazano/pod istragom' i izdvaja konačnu izjavu bez dokaza ✔

Komentar: U službenom sigurnosnom izvješću, svaka tvrdnja treba biti potkrijepljena i "vjerojatno" se nikada ne smije brkati s "dokazano". Tvrdnja bez dokaza ima pravne, financijske i reputacijske posljedice. Analitičar bi trebao ispraviti rečenicu u skladu s dokazima (na primjer, napisati datum prvog otkrivenog pristupa i reći 'nije pronađen uvjerljiv dokaz, istraga je u tijeku' za curenje podataka).

13. Voditelj želi profilirati sve aktivnosti zaposlenika iz sigurnosnih zapisa s umjetnom inteligencijom kako bi shvatio je li 'lojalan' ili ne. Što bi stručnjak za sigurnost trebao učiniti?

A) Odbija zahtjev i upućuje ga na odgovarajući kanal (HR/pravna/definirana istraga); sigurnosni podaci nisu sredstvo osobnog nadzora ✔
B) Izrađuje i isporučuje profil jer to upravitelj zahtijeva
C) Izvlači samo neke zapise i daje djelomičan profil
D) Neka profil izradi umjetna inteligencija jer odgovornost prelazi na umjetnu inteligenciju

Opis: Sigurnosni podaci prikupljaju se u sigurnosne svrhe; Praćenje/profiliranje osobe je zlouporaba, pretvara se u osobni nadzor i krši KVKK. Vještak treba odbiti ovaj zahtjev i uputiti ga na odgovarajući kanal (HR, pravni, definiran i legitiman istražni okvir). Dobra volja ili želja upravitelja ne opravdavaju ovo ograničenje.

14. SOC odlučuje koje će korake sigurnosnog tijeka rada automatizirati. Koji je najbolji princip za automatizaciju?

A) Odluke s najvećim rizikom trebale bi se prvo automatizirati tako da nema ljudskog angažmana
B) Niskorizični/reverzibilni koraci su automatizirani; visoki rizik/nepovratni koraci ostaju na ljudskim vratima i svaka automatizacija ima način poništavanja ✔
C) Sav SOC trebao bi biti potpuno automatiziran i samokontrola je nepotrebna
D) Automatizirane radnje ne moraju se poništavati jer AI ne griješi

Objašnjenje: Niskorizični, ponavljajući i reverzibilni koraci (prikupljanje dnevnika, obogaćivanje alarma) mogu se automatizirati; Visoko rizični, nepovratni koraci koji zahtijevaju procjenu (izolacija poslužitelja, proizvodno krpanje, službena obavijest) prolaze kroz ljudska vrata. Osim toga, svaka automatska radnja mora imati uske kriterije i način poništavanja. Automatizacija ne uklanja odgovornost, samo je ubrzava.