Nyereség:
- Több időbélyeg-forrás normalizálása egyetlen referenciára (UTC), valamint a szuper idővonal anomáliáinak és hiányosságainak mesterséges intelligenciával történő megjelölése
- Képes különbséget tenni a korreláció és az ok-okozati összefüggés között, és ellenőrizni a mesterséges intelligencia által létrehozott narratívát azáltal, hogy minden eseményt a forráshoz kapcsol
- Képes felismerni a kockázatokat, például az időzítést, az óraeltolódást és a naplóhézagokat, és több forrásból megerősíteni őket
Csak egy dolog mondja meg, mikor, hogyan és milyen sorrendben történik egy kiberesemény: az idő. Amikor a támadó belépett a rendszerbe, melyik fájlt érintette meg, és mikor, mikor szűrte ki az adatokat – mindez különböző naplókban (rögzítési fájlok, ahol a rendszer eseményeket rögzít) és különböző időbélyegekben (időbélyeg – egy esemény bekövetkezésének dátuma és időpontja) tárolódik. Az idővonal-elemzés ezeket a szétszórt időbélyegeket egyetlen kronológiai narratívába rendezi, és megkérdezi, hogy „mi történt?” Ez a kérdés megválaszolásának művészete. Ebben az egységben látni fogjuk, hogy az AI hogyan biztosít nagy sebességet ezeknek a rendetlen adatoknak a rendszerezésében, és hol vezetheti félre.
Az időbélyegek sokasága és buktatói
Még egyetlen fájlnak is több időbélyege van. Például egy fájlrendszer MACB-bélyegzőkkel rendelkezik: Módosítva, Hozzáférve, Megváltozott, Megszületett. Ezen kívül vannak operációs rendszer eseménynaplói (Windows Event Log), webszerver-naplók, tűzfalnaplók, alkalmazásnaplók és rendszerleíró adatbázis (Windows registry - hierarchikus adatbázis, ahol a rendszer és az alkalmazás beállításai tárolódnak) rekordok.
A legnagyobb buktató az időzóna és az időeltolódás. Az egyik napló az UTC-t (koordinált egyetemes időt), a másik a helyi időt rögzíti; a rendszer órája helytelenül van beállítva; Előfordulhat, hogy a támadó szándékosan manipulálta az időbélyegeket (timestomping – a fájl időbélyegeinek meghamisítása). Tehát az idővonal létrehozása előtt meg kell határozni az egyes források időzónáját és órapontosságát, mindezt egy közös hivatkozásra normalizálva (általában UTC).
Vigyázat: Klasszikus hiba, hogy két rönköt egymás mellé teszünk különböző időszakokban, és azt mondjuk, hogy „egy időben történt”. Konvertálja az összes időbélyeget egyetlen hivatkozássá a korreláció előtt; Ellenkező esetben a mesterséges intelligencia (és Ön) által megállapított ok-okozati kapcsolat kezdettől fogva rohadt.
Szuper idővonal és AI
A számítógépes kriminalisztika során azt a struktúrát, amely ezeket a forrásokat egyesíti, szuper idővonalnak nevezik; Gyakran olyan eszközökkel állítják elő, mint a Plaso/log2timeline, és több tízezer vagy akár több millió sorból állhat. Itt jön be a mesterséges intelligencia: jelentőségteljes minták és anomáliák megjelölése ezen a hatalmas diagramon.
Az AI biztonságos hozzájárulásai:
- Rendellenesség megjelölése: Munkaidőn kívüli hozzáférés, hirtelen jogosultságkiterjesztés, szokatlan folyamatlánc, többszöri sikertelen bejelentkezés rövid időn belül.
- Eseménycsoportosítás: Az ugyanabban az időablakban koncentrálódó események csoportosítása és megjelölése „valami történt itt”.
- Narratív vázlat: Ellenőrzött események lefordítása egyszerű nyelvű kronológiai történetbe (a jelentés első vázlata).
- Hiányérzékelés: "Ebben a 40 perces intervallumban nincsenek naplók – lehet, hogy törölték?" Olyan hiányosságokról kérdezősködve, mint pl.
Mindegyikben az MI hipotéziseket generál; Bizonyítod az ok-okozati összefüggést és a bizonyítási értéket.
Tipp: Amikor megadja az idővonalat az MI-nek, először világosan mondja meg neki az időzónát és a formátumot: "Minden időbélyeg UTC, ISO 8601 formátumban van." Először normalizálja a vegyes formátumokat; Ha hagyjuk, hogy az AI kitalálja a formátumot, az felhívás a hibára.
A korreláció nem okozati összefüggés
Az időelemzés legveszélyesebb logikai hibája az, ha azt gondoljuk, hogy az egymásutániság ok és okozat. "Az USB-t 22:10-kor helyezték be, egy fájlt 22:12-kor másoltak" két esemény következhet be egymás után, de ezek nem igazolják, hogy ugyanaz a személy tette ugyanarra a célra; Lehet más magyarázat is. Míg a mesterséges intelligencia gördülékeny narratívát készít, nem látja ezt a rést, és pontos mondatot tud produkálni, például: „Az adatokat USB-n keresztül lopták el”. A szakértő feladata az alternatív magyarázatok kiküszöbölése, és minden lépést független bizonyítékokkal alátámasztani.
három mini tok
1. eset – Az óra eltolódása elakadt. Egy esetben a webszerver naplója és a tűzfalnapló 3 órán keresztül eltérően nézett ki. Az első tervezetben az AI ezt a „két külön támadást” tekintette. A szakértő megállapította, hogy a szerver időzónája rosszul van beállítva; Normalizálva a két napló egyetlen eseménybe illeszkedik. A 3 órás "fantomkülönbség" eltűnt.
2. eset – Egy hézag törlést mutatott ki. Az 1,1 millió soros szuper idővonalon az AI azt jelezte, hogy 02:30 és 03:10 között nincs rekord. A szakértő megvizsgálta: Ebben az ablakban a biztonsági naplókat szándékosan törölték (naplótörlés). Maga az űr a támadás egyik legerősebb bizonyítéka lett.
3. eset – A hallucináció kitalált egy eseményt. Összegzés közben YZ azt mondta: "A rendszergazdai fiók 03:45-kor jött létre." A szakértő megnézte a forrást: nem volt ilyen Eseményazonosító – az esemény típusát jelző szám a Windows naplóiban; Az AI két különböző vonalat egyesített, és olyan eseményt hozott létre, amely nem létezett. A forráshoz való kapcsolódás megakadályozta a hamis narratívát.
Négy másolható sablon
1) Idő normalizálási terv:
Az Ön szerepe: törvényszéki idővonal-elemző. Különböző forrásokból származó időbélyegeket adok (a formátumok és az időtartamok eltérőek lehetnek). Először határozza meg az egyes források formátumát és időzónáját, majd dolgozzon ki egy tervet az összes UTC / ISO 8601 szabványra való konvertálására. Jelölje meg azt az időzónát, amelyben nem biztos, hogy "megerősítést igényel".
2) Anomália jelölés:
Kontextus: vállalati szerver, normál munkaidő 08:00-18:00 (UTC+3). Megadom a normalizált eseménylistát. Csak a listában VALÓBAN megjelenő rekordok alapján jelölje meg a következőket: nyitvatartási időn kívüli hozzáférés, jogosultság eszkaláció, többszöri sikertelen bejelentkezés, szokatlan folyamatlánc. Minden jelnél idézze a megfelelő sort. Értelmezés/ok-okozati összefüggés hozzáadása; értékelni fogom.
3) Narratív vázlat (a jelentéshez):
Alább láthatók az általam ELLENŐRZETT események (mindegyik forrásával). Változtassa őket egyszerű, időrendi elbeszéléssé. Csak az általam megadott eseményeket használja; új esemény, előrejelzés vagy okozati összefüggés hozzáadása. Írjon homályos összefüggéseket olyan nyelven, amely „lehetséges”-ként jellemzi őket.
4) Hiányos és következetlenségi szkennelés:
Ezen a normalizált idővonalon: (1) jelölje meg a várható, de hiányzónak tűnő naplóperiódusokat, (2) a nem rendben lévő rekordokat (a jövőről a múltba), (3) a kötegelt/automatikusan megjelenő kiugrásokat. Mutasd mindegyiket a megfelelő sorközökkel. Mutasson rá, hogy ezek a törlés/manipuláció JELEI lehetnek, de nem bizonyítékok.
Gyenge felszólítás / Erős felszólítás
Gyenge felszólítás:
Foglalja össze ezeket a naplókat, és magyarázza el, mi történt.
Nincs időkeret, forrás vagy "csak valós felvétel" korlátozás; Az AI gördülékeny, de kitalált történetet tud felépíteni.
Erőteljes felszólítás:
Az Ön szerepe: törvényszéki naplóelemző. Forrás: 3 napló (Windows Security, Apache hozzáférés, tűzfal), mindegyik UTC, ISO 8601-re normalizálva. Feladat: kronologikusan listázza ki az eseményeket március 14. 21:00-23:00 között, csak megadott sorok alapján; idézzen minden sort a forrásával és az eseményazonosítóval/kóddal. Összefüggés megállapítása, ok-okozati összefüggés állítása; kommentálom. Jelölje meg külön-külön azokat az intervallumokat, amelyeket hiányzónak vagy szokatlannak lát.
A forrás, a normalizált hivatkozás, a „csak adott sor” és az „oksági összefüggés megállapítása” megszorítások védhetővé teszik a kimenetet.
Időbélyeg-források táblázata
Forrás
Példa időbélyegzőre
Figyelem
Fájlrendszer (MACB)
Módosítás/hozzáférés/létrehozás
Nyitott az időzítésre
Windows eseménynapló
Bejelentkezés, folyamat, szervizesemények
Az eseményazonosító ellenőrzése
webszerver napló
időt kérni
időzóna ellenőrzés
tűzfal/hálózat
kapcsolat, elutasítás
Óra szinkronizálás (NTP)
Nyilvántartásba
Utolsó írási idő
A hozzászóláshoz szakértelem szükséges
Alkalmazás/böngésző
előzmények, gyorsítótár
helyi idő lehet
Gyakori hibák
- Korreláció megállapítása az időtartam normalizálása nélkül. A különböző szeletek hamis "egyidejűséget" hoznak létre.
- Az ok-okozati összefüggés összetévesztése. Az egymást követő események nem ugyanazt az elkövetőt/célt jelentik.
- Abszolút bizalom az időbélyegben. Időzítés és helytelen idő lehetséges; Erősítse meg több forrásból.
- Nem ellenőrzi az eseményt, hogy az AI összeállt. Két vonal egyesülése nem létező eseményt eredményezhet.
- A hiányosságok figyelmen kívül hagyása. A hiányzó napló gyakran a legfontosabb bizonyíték.
Összefoglalva
Az idővonal-elemzés a szétszórt időbélyegek egyetlen ellenőrizhető kronológiává összefűzése. Az AI nagy sebességet biztosít az anomáliák megjelölésében, a klaszterezésben, a hézagészlelésben és a narratívák rajzolásában millió soros szuper idővonalon. De az időintervallum normalizálása, a korreláció-okozati összefüggés megkülönböztetése és az egyes események forráshoz való hozzárendelése az emberre tartozik. Az AI hipotéziseket generál; Ön védi a kronológiát a bíróságon.
Pályázati feladat
Készítsen minta eseménylistát 15-20 sorból különböző formátumban és időzónában (szándékosan tartalmazzon időeltolást és szóközt). Először konvertálja mindet UTC-re az „Idő normalizálási terv” sablon segítségével. Ezután alkalmazza az „Anomália jelölése” és a „Hézagletapogatás” sablonokat, és ellenőrizze a forrásnál az AI által rögzített óraeltolódást és rést.
ellenőrző lista
- [ ] Az összes időbélyeget egyetlen hivatkozásra (UTC) normalizáltam.
- [ ] Minden eseményt a forrásához (fájl/eseményazonosító/sor) kapcsoltam.
- [ ] különbséget tettem korreláció és ok-okozati összefüggés között; Alternatív magyarázatokon gondolkodtam.
- [ ] Rönkhézagokat és szokatlan rekordokat jelöltem meg.
- [ ] Megerősítettem azokat az eseményeket, amelyeket az AI az eredeti felvételen konszolidált/összefoglalt.