Végponttól végpontig terjedő SOC munkafolyamat, automatizálás (SOAR), minőségirányítás és önellenőrzés

Nyereség:

• Lehetőség egy végpontok közötti SOC munkafolyamat tervezésére, amely gyűjtésből, észlelésből, osztályozásból, vizsgálatból, beavatkozásból, fejlesztésből, jelentéstételből és visszacsatolásból áll, meghatározva a mesterséges intelligencia és az emberi kapuk helyét
• Lehetőség az automatizálás kockázati szint szerinti szétválasztására (az alacsony kockázatú/visszafordítható lépések automatikusak, a magas kockázatú/visszafordíthatatlan lépések ember által vezéreltek), és minden automatikus művelethez visszalépési útvonalat tervezhetünk.
• Képes önellenőrző és visszacsatoló hurkot létrehozni, amely rendszeresen méri a hamis pozitív/negatív arányt, az MTTD/MTTR-t, a kimeneti pontosságot és a modelleltolódást

Ez az utolsó egység a modul során külön tanult részeket – naplóelemzés, fenyegetésvadászat, sebezhetőség-kezelés, incidensre adott válasz, adathalászat, kódellenőrzés, intelligencia, jelentéskészítés – egyetlen végpontok közötti munkafolyamatban egyesíti. Valódi biztonsági műveleti központban (SOC) ezek a lépések nincsenek szétválasztva; A riasztás nyomozást indít el, amely válaszreakciót indít el, amely jelentést indít, amely kárelhárítást indít el. A mesterséges intelligencia részt vesz ennek a láncnak minden láncszemében, de az ember tartja a láncot, és minden kritikus ajtónál döntést hoz.

Ezenkívül ez az egység két kritikus témát fed le. Az első az automatizálás: Amikor a SOAR (Security Orchestration, Automation and Response – a biztonsági folyamatokat automatizáló és szervező platform) és a mesterséges intelligencia egyesül, a teljesítmény és a kockázat egyaránt nő; Különbséget kell tenni aközött, hogy mi automatizálható, és mi az, ami soha nem vonható ki az emberi jóváhagyás alól. Másodszor, minőségirányítás és önszabályozás: Egy mesterséges intelligencia-kompatibilis biztonsági műveletet nem kell egyszer beállítani és elhagyni; folyamatosan figyelik, mérik, visszacsatolják és korrigálják. Az automatizálás növeli a sebességet, de nem szünteti meg a felelősséget; Egy biztonsági program csak rendszeres önellenőrzés révén marad biztonságos.

Végpontok közötti SOC munkafolyamat

Lássuk, hol jön szóba az AI, és ki hagyja jóvá egy tipikus incidens életciklusában:

1. Gyűjtés és figyelés: A naplók a SIEM-be áramlanak; Az AI csökkenti a zajt – összegzi. (Automatikus, alacsony kockázatú.)
2. Észlelés és riasztás: szabály + anomália + mesterséges intelligencia minta észlelése. (Automatikus termelés; az osztályozás emberben történik.)
3. Triage: A riasztás valódi vagy hamis pozitív? Az AI indoklást és prioritást javasol; elemző erősíti meg. (Emberi ajtó.)
4. Vizsgálat: A mesterséges intelligencia bizonyítékokat gyűjt, ütemtervet határoz meg, felsorolja a kiváltó okokat; nyers bizonyítékokkal erősíti meg az elemző. (Emberi ajtó.)
5. Beavatkozás: Izolálás, zárás, tisztítás. Az AI választási lehetőséget/befolyást biztosít; A döntés a felhatalmazott elemző kezében van. (Kritikus emberi kapu.)
6. Kárelhárítás: Sebezhetőség bezárása, kiváltó ok megszüntetése. AI-terv tervezete; jóváhagyás a változásmenedzsmentben. (Ember + folyamat.)
7. Jelentéskészítés: az AI piszkozatot ír, alkalmazkodik a közönséghez; A szakértő ellenőrzi és aláírja a bizonyítékokat. (Emberi ajtó.)
8. Tanulás és visszajelzés: AI mintákat bont ki; Frissíti a csapatészlelési szabályokat és a játékfüzeteket. (Ember + folyamat.)

Ennek a láncnak a szabálya: alacsony kockázatú, ismétlődő, visszafordítható lépések automatizálhatók; Nagy kockázatú, visszafordíthatatlan, ítélkezést igénylő lépések haladnak át az emberi ajtón.

Automatizálási döntési táblázat

lépést

Lehet-e automatizálni

állapot

emberi jóváhagyás

Naplógyűjtés, normalizálás

Igen, pontosan

—

nem szükséges

Riasztás dúsítás (IOC keresés)

Igen

A forrás megbízható

Felülvizsgálják

Hamis pozitív elimináció (jó ismert)

részben

szigorú szabály

Mintavétellel ellenőrzik

Adathalász e-mail karanténba

részben

nagy pontosságú

Áttekintés + visszaállítási útvonal

Fiók automatikus zárolása

óvatos

Csak egyértelmű kritériumok

Gyors emberi ellenőrzés

Izolálja le a szervert

Általában nem

Kivéve a kritikus infrastruktúrát

Emberi kényszer döntés

Foltozás (gyártás)

nem

—

Tesztelés + változáskezelés

Hivatalos jelentés/értesítés

nem

—

Szakértő + jog

Minőségirányítás és önellenőrzés

A mesterséges intelligencia által működtetett biztonsági művelet egy élő rendszer; teljesítménye idővel változik (új támadások, változó környezet, modellfrissítések). Rendszeres mérés szükséges a biztonság megőrzéséhez:

• Hamis pozitív és hamis negatív arány: Milyen gyakran riaszt hiába az AI, milyen gyakran hagyja figyelmen kívül a valódi fenyegetést? A hamis negatívokat különösen figyelik, mert csendben kárt okoznak.
• MTTD/MTTR: ​​Javulnak az átlagos észlelési és válaszidők?
• A mesterséges intelligencia kimeneti pontossága: Mintavétellel az AI összefoglalóinak/leleteinek/idézeteinek mekkora része megy át az érvényesítésen?
• Automatizálási biztonság: Az automatikus műveletek a várt módon működnek, vannak-e hamis triggerek, működnek-e a visszaállítások?
• Visszacsatolási hurok: A talált tényleges események új észlelési szabályokká válnak, a felvetett riasztások pedig kivétellistákká?

Feltételek: MTTD (Mean Time To Detect). A visszacsatolási hurok az, amikor a művelet tanul a saját eredményeiből, és frissíti a szabályait. A modelleltolódás az, amikor az AI elavulttá válik, és a teljesítmény csökken a környezet változásával. Az önellenőrzés a csapat saját folyamatainak rendszeres, kritikus felülvizsgálata.

három mini tok

1. eset – Megfelelő automatizálás. Az SOC automatizálja az „az ismert rosszindulatú IOC-knak megfelelő és alacsony kockázatú kategóriába tartozó riasztások automatikus gazdagítását és rangsorolását”; de mindig hagyja a "kiszolgáló elkülönítése" lépést emberi jóváhagyásra. Az eredmény: az elemzők napi 400 rutin riasztástól szabadulnak fel, így időt szabadítanak fel a valódi vizsgálatokra, a kritikus döntéseket az emberre bízva. A lánc megfelelő része automatikus, a megfelelő hely az ember.

2. eset – Az automatizálás visszafelé sül el. Egy másik SOC nagyon tágan határozza meg a „fiókok automatikus zárolása gyanús bejelentkezéskor” szabályt. Egy napon egy konfigurációs hiba miatt a szabály egyszerre 1200 jogos felhasználót zár ki, és a munka leáll; Ezenkívül a helyreállítási útvonal nincs meghatározva. Tanulság: A nagy hatású automatizálásnak szigorú kritériumokkal, fokozatos telepítéssel és visszaállítási útvonallal kell rendelkeznie. Az automatizálásnak reverzibilisnek kell lennie, és önszabályozással kell ellenőrizni.

3. eset – Az önuralom által elkapott csúszás. Egy három hónapos önellenőrzés során egy csapat észreveszi, hogy az AI adathalászat-észlelési pontossága csökken: egy új adathalász hullám elmarad, mert nem illeszkedik a régi mintákhoz (minta-sodródás). A csapat mintákat gyűjt, frissíti az észlelési szabályokat, és frissíti az AI-nak adott kontextust. Rendszeres önuralom nélkül ez a néma kitérés hónapokig folytatódhatott volna. Tanulság: csak azért, mert a teljesítmény egyszer jó, nem mindig marad jó; a mérés és a visszacsatolás elengedhetetlen.

Gyenge felszólítás / Erős felszólítás

Gyenge felszólítás:

Teljesen automatizálja az SOC-t, és hagyja, hogy az AI kezeljen mindent.

Ez a kérés automatizálást igényel a kockázat megkülönböztetése nélkül, figyelmen kívül hagyja az emberi ajtókat, és nem veszi figyelembe a visszaállítást és az ellenőrzést. Ha végrehajtják, a magas kockázatú döntések felügyelet nélkül automatizálódnak, és az első hibára katasztrófává válnak.

Erőteljes felszólítás:

Az Ön szerepe: SOC folyamattervezési tanácsadó. [Felsorolja] ezeket az események életciklusát három részre osztva a kockázati szint alapján: (A) teljesen automatizált (alacsony kockázatú, visszafordítható, ismétlődő), (B) AI ajánl + ember jóváhagyja, (C) mindig emberi döntés (nagy kockázatú, visszafordíthatatlan). Javasoljon kötelező visszaállítási útvonalat és nyomon követési mutatót mindegyikhez (A) és (B). Készítsen egy negyedéves önellenőrzési ellenőrzőlistát is: hamis pozitív/negatív arány, MTTD/MTTR, AI kimeneti pontossági mintavétel, mintaeltolódás jelei.

Az erős kereslet az automatizálást kockázati szint szerint választja el, visszaállítást és monitorozást igényel, valamint önszabályozási keretet hoz létre.

Másolható prompt sablonok

AUTOMATIZÁLÁSI KOCKÁZATVÁLASZTÁSI SABLON Ossza fel ezeket a biztonsági munkafolyamat-lépéseket három részre: (A) teljesen automatizált megfelelő, (B) Emberi jóváhagyást ajánl, (C) mindig emberi döntés. Minden lépéshez írja be az indoklást, a visszafordíthatóságot és az üzleti hatást. Kötelező visszagurulási útvonal javasolt nagy ütésű lépésekhez. Lépések: [lista]

ROLLBACK DESIGN TEMPLATE automatikus művelethez [pl. fiókzárolás] biztonságos kialakítást javasol: triggerkritériumok (szűk), fokozatos üzembe helyezés, hamis trigger-visszaállítási lépés, figyelmeztetés és emberi ellenőrzési pont. Tervezés a vak automatizálás elkerülésére. Művelet: [írás]

ÖNELLENŐRZÉSI ELLENŐRZŐLISTA SABLON Készítsen negyedéves önellenőrzési ellenőrzőlistát egy mesterséges intelligencia által működtetett SOC-hoz: téves pozitív/negatív arány, MTTD/MTTR torzítás, AI kimeneti pontosság mintavétel, automatizálási hamis triggerek, minta eltolódásának jelei, visszacsatoló hurok működése, adatvédelem/anonimizálás megfelelősége. Minden tételnél írja meg, hogyan lesz mérve.

VISSZAJELZÉS KÖRÖS SABLON Rajzolja le, mit tanult a tényleges esemény/riasztás, amely meghiúsul: (1) a minta, amely új észlelési szabállyá válik, (2) a téves pozitív üzenet, amely hozzáadódik a kivétellistához, (3) a játékkönyv frissítése, (4) az új kontextus, amelyet az AI kap. Esemény/riasztás összefoglalója: [beillesztés]

Gyakori hibák

• A magas kockázatú lépés automatizálása. Az olyan visszafordíthatatlan lépések, mint a szerver elkülönítése, a termelés javítása, a hivatalos értesítés, nem távolíthatók el az emberi ajtóból.
• Nem a visszanyeréshez vezető utat tervezni. Előfordulhat, hogy bármely automatikus művelet hibásan indul ki; A visszavonási és megerősítési pont nélküli automatizálás veszélyes.
• Állítsd be és felejtsd el. Az AI teljesítménye a környezet változásával változik; Rendszeres önellenőrzés és mérés nélkül halmozódnak fel a csendes kitérések.
• Csak a hamis pozitív nyomon követése. A hamis negatív (az elmulasztott valós fenyegetés) veszélyesebb, de nehezebb észrevenni; Nézze meg privátban.
• A visszajelzések figyelmen kívül hagyása. Ha az észlelt események nem válnak új szabállyá, és a sikertelen riasztások nem válnak kivételekké, a művelet nem tanul és megismétli ugyanazt a hibát.

Tipp: Az automatizálási döntés aranykérdése: „Vissza lehet vonni ezt a műveletet, ha helytelenül indítják el, és milyen hatással van az üzletre?” Ha a válasz „könnyen visszavonható, csekély hatás”, akkor automatizálja; Ha "visszafordíthatatlan vagy nagy hatású", tartsa az emberi ajtó előtt.

Vigyázat: Az automatizálás nem szünteti meg a felelősséget, csak felgyorsítja azt. Egy rosszul átgondolt automatikus cselekvés sokkal gyorsabban és szélesebb körben okoz károkat, mint egy ember. Minden automatizálást szűk kritériumok, visszafutási út és rendszeres ellenőrzés vesz körül; A végső felelősség mindig az embert terheli.

Összefoglalva

Ez az egység a modul minden részét egy teljes körű SOC-munkafolyamattá egyesítette: gyűjtés, észlelés, osztályozás, vizsgálat, válaszadás, helyreállítás, jelentéstétel és visszajelzés. A mesterséges intelligencia minden láncszemben részt vesz, de az ember tartja a láncot, és minden kritikus ajtónál döntést hoz. Az automatizálás (SOAR + AI) növeli a teljesítményt; A szabály egyértelmű: az alacsony kockázatú, visszafordítható, ismétlődő lépések automatizálódnak, a magas kockázatú, visszafordíthatatlan lépések áthaladnak az emberi ajtón, és minden automatizálásnak van módja a visszavonásra. Végül egy mesterséges intelligencia által működtetett biztonsági program él: rendszeresen mérik a hamis pozitív/negatív értékeket, az MTTD/MTTR-t, a kimeneti pontosságot és a mintaeltolódást; A talált visszacsatolási körben szabályokká és játékkönyvekké változik. Az automatizálás felgyorsítja a felelősséget, nem pedig eltávolítja; Az önuralom életben tartja a biztonságot.

Pályázati feladat

Írja le saját szervezete (vagy egy minta SOC) incidens életciklusát. Az „Automatizálási kockázatok szétválasztása” sablon segítségével minden lépést A/B/C kategóriába soroljon, és a „Visszaállítási tervezés” sablonnal biztonságos automatizálási tervet készítsen legalább egy „nagy hatású” lépéshez. Ezután hozzon létre egy negyedéves ellenőrzőlistát az „Önellenőrzési ellenőrzőlista” sablonnal, és határozza meg, hogyan fogja mérni az egyes mutatókat a környezetében.

ellenőrző lista

• [ ] Az incidens életciklusának minden lépését A/B/C kockázati osztályba osztottam.
• [ ] Nagy kockázatú, visszafordíthatatlan lépéseket tartottam az emberi ajtó előtt.
• [ ] Minden automatikus művelethez szűk kritériumokat és visszavonási útvonalat terveztem.
• [ ] Azt terveztem, hogy figyelemmel kísérem a hamis pozitív és különösen a hamis negatívok arányát.
• [ ] Terveztem az MTTD/MTTR és az AI kimeneti pontosságának rendszeres mérését.
• [ ] Negyedéves önellenőrző listát állítottam össze a mintázat elsodródására.
• [ ] A talált eseményeket összekapcsoltam és riasztásokat dobtam a visszacsatoló hurokra.

Modul vizsga

1. A SIEM triage MI egy riasztást "alacsony prioritású, valószínűleg hamis pozitív"-ként jelölt meg, és a lista aljára tolta. Mit tegyen az elemző ezzel a riasztással?

• A) Még mindig önállóan ellenőrzi a riasztást, és nyers bizonyítékokkal ellenőrzi; Az elemző meghozza a lezárási döntést és azt rögzíti ✔
• B) A mesterséges intelligencia automatikusan kikapcsolja a riasztást anélkül, hogy megvizsgálná, mert azt mondja, hogy alacsony prioritású.
• C) A riasztást átadja a következő műszaknak, ahogy van.
• D) Csak nézze meg a mesterséges intelligencia által adott összefoglalót, és adja át a jelentést

Magyarázat: A mesterséges intelligencia priorizálása ajánlás, nem diagnózis; Az „alacsony prioritású” jelző valós támadást takarhat (hamis negatív). Az elemzőnek továbbra is függetlenül kell ellenőriznie a riasztást, igazolnia kell nyers bizonyítékokkal, és saját maga kell döntenie a riasztás lezárásáról. A negatív mesterséges intelligencia kimenet nem garancia arra, hogy nincs veszély.

2. Milyen kombinációja a kockázatoknak a valódi támadást „normálisnak” minősítő mesterséges intelligencia, és az elemző, aki bízik ebben, és lazítja saját elemzését?

• A) Csak álpozitív és riasztási fáradtság
• B) Hamis negatív és automatizálási torzítás (túlzott támaszkodás a mesterséges intelligenciára) ✔
• C) Csak a naplóforrás hiánya
• D) Csak SIEM szabályhiba

Magyarázat: Hamis negatív, ha a modell elmulasztja a valós fenyegetést; Az automatizálási elfogultság az, amikor az elemző túlzottan megbízik a mesterséges intelligenciában, és felhagy a független felülvizsgálattal. Amikor a kettő egyesül, az emberi irányítás létjogosultsága megszűnik, és a támadást teljesen meg lehet kerülni. Ezért vizsgálják azokat a területeket is, amelyeket a mesterséges intelligencia „tisztának” nevez.

3. A mesterséges intelligencia a következőt mondta: „CVE-2024-88888, CVSS 9.8, azonnal javítsa ki” az osztályozás során. Mit tegyen először az elemző?

• A) Megbízhatónak tartja a CVE-t, és azonnal kezdeményezi a javítási tervet
• B) Csak azért, mert a CVSS 9.8-as, ezt helyezi az első helyre anélkül, hogy megvizsgálna más sebezhetőséget.
• C) Ellenőrzi a CVE számot és pontszámot az NVD/szállító rekordban; ✔ Ha nincs rekord, akkor nem kerül fel a listára, tudva, hogy hamisítványról van szó.
• D) A CVE ellenőrzése nélkül az adminisztrátor „kritikus fenyegetésként” írja be a jelentésbe.

Leírás: A nyelvi modellek folyékonyan illeszkednek egy nem létező CVE-számhoz és pontszámhoz (hallucinál). Az elemzőnek ellenőriznie kell a CVE-t az NVD/szállító naplójában, és meg kell erősítenie annak hitelességét és pontszámát, mielőtt elkötelezi magát a javítási ütemterv mellett. Egy ellenőrizetlen CVE először csatlakozik az erőforráshoz; Ellenkező esetben a csapat az idejét vesztegeti egy nem létező javításra.

4. Az incidens kivizsgálásának felgyorsítása érdekében egy szakértő beilleszti a nyers tűzfalnaplót a tényleges belső IP-címekkel, felhasználónevekkel és VPN-kiszolgálónevekkel együtt egy nyilvánosan elérhető mesterségesintelligencia-eszközbe. Mi itt a fő probléma?

• A) A mesterséges intelligencia nem tudja olvasni a naplóformátumot, így az elemzés haszontalan
• B) Ha a napló túl hosszú, az lelassítja a modellt.
• C) A tűzfalnaplók egyébként sem alkalmasak elemzésre
• D) A valódi IP-címet, a felhasználó- és szerverneveket anonimizálás nélkül osztják meg; Ez egyrészt a KVKK megsértése, másrészt a szervezet hálózati térképének kiszivárogtatása ✔

Leírás: A biztonsági adat személyes adat (felhasználó, IP) és vállalati intelligencia, amely felfedi a szervezet támadási felületét (hálózati topológia, szervernevek). Ha ezt egy külső eszköznek adjuk anonimizálás nélkül, az egyrészt a KVKK megsértését jelenti, másrészt egy hálózati térképet tár fel, amely hasznos lesz a támadó számára. Először is, a tényleges értékeket konzisztens helyőrzők takarják.

5. Mitől tekinthető jól megtervezett fenyegetésvadászat?

• A) Egy konkrét, tesztelhető hipotézissel kezdődik, és a talált nyomot nyers bizonyítékok igazolják ✔
• B) Azzal kezdődik, hogy azt mondja a mesterséges intelligenciának, hogy „keresse meg, van-e támadó a hálózatomban”
• C) Minden talált rendellenes/ritka eseményt automatikusan támadásnak nyilvánít
• D) Csak akkor működik, ha riasztás érkezik, nem proaktív

Magyarázat: A jó fenyegetésvadászat nem riasztással kezdődik, hanem egy konkrét és tesztelhető hipotézissel, amely igaznak bizonyul, de lehet, hogy nem (pl. „Az X fiók csatlakozott több mint 50 belső IP-címhez nem munkaidőben”). Az olyan homályos kérdés, mint a „Van valami rossz a hálózatomon”, nem tesztelhető, és az AI találgatásokra hagyja. A talált nyom mindaddig nem minősül fenyegetésnek, amíg nyers bizonyítékokkal nem igazolják.

6. A biztonsági rés CVSS-pontszáma 9,1 a belső hálózaton lévő elszigetelt tesztkiszolgálón; Ugyanebben a listában a CVSS 7.5 egy internetre nyitott szerveren, de van egy másik sebezhetőség a KEV-listán (amit valójában kihasználnak). Mi a helyes rangsorolás?

• A) Először mindig a legmagasabb CVSS-vel rendelkező (9.1) javítás történik
• B) Az Interneten és a KEV listán a 7.5-ös sérülékenységet továbbítják; A CVSS nem az egyetlen kritérium, a kitettség és a tényleges visszaélés a döntő ✔
• C) Mindkettőt egyszerre és azonos prioritással foltozzák, a megkülönböztetés szükségtelen
• D) Egyikük sincs javítva, mert a tesztszerveren van egy sérülékenység

Magyarázat: A CVSS nem egyedül határozza meg a prioritásokat; a tényleges kockázatot az EPSS (kihasználás valószínűsége), a KEV (tényleges kihasználás) és a szervezeti kontextus (kitettség, kritikusság, kompenzációs kontroll) határozza meg. Az Internetnek kitett és ténylegesen kihasznált (KEV) sebezhetőség megakadályozza az elszigetelt és kis valószínűségű nagy CVSS-sebezhetőséget.

7. Az incidensre adott válaszában a mesterséges intelligencia azt mondja, hogy „Az IC_HOST_7 webhelyről származó forgalom gyanús, izolálja ezt a szervert”. Az IC_HOST_7 az intézmény fő hitelesítési szervere. Mit tegyen az elemző?

• A) A mesterséges intelligencia azonnal elszigeteli a szervert, mert azt mondja
• B) Teljes mértékben a mesterséges intelligenciára bízza az elszigetelési döntést
• C) Először értékelje az üzleti hatást és a forgalom okát; Nem izolálja el a kritikus infrastruktúrát anélkül, hogy mérné a hatását, és elemzőként hozza meg a döntést ✔
• D) Elszigeteli a szervert, majd törli az összes naplót

Leírás: Az elszigeteltség kritikus döntés, amelyet nehéz visszafordítani, és az üzlet megszakításához vezethet; nem lehet átvinni a mesterséges intelligenciába. A hitelesítési szerver leválasztása megakadályozhatja az összes alkalmazott bejelentkezését. Az elemzőnek először fel kell mérnie az üzleti hatást és a forgalom okát (lehet, hogy jogszerű tranzakció), és magának kell meghoznia a döntést; A mesterséges intelligencia javaslatát nem szabad parancsként végrehajtani.

8. Egy zsarolóprogram-incidens során a csapat újjá akar építeni egy érintett gépet, hogy gyorsan megtisztítsa azt; de van a gépen olyan törvényszéki bizonyíték (memóriadump, támadóeszközök), amit még nem gyűjtöttek össze. Mi a helyes megközelítés?

• A) A gépet azonnal újratelepítik; a bizonyíték irreleváns
• B) Mesterséges intelligenciát kérnek a „leggyorsabb tisztításhoz”, és az utasítást vakon alkalmazzák.
• C) A gépet kikapcsolják és kidobják, mert a bizonyítékok már a naplóban vannak.
• D) Először elkészítik az igazságügyi kép- és memóriakiírást, és megőrzik a bizonyítékokat, majd elvégzik a tisztítást/helyreállítást ✔

Magyarázat: A felépülés sebessége nem tudja felülmúlni a bizonyítékok megőrzését. A gép bizonyítékgyűjtés nélküli újratelepítése tönkreteszi a felügyeleti láncot és megbénítja a bírósági eljárást. Először kriminalisztikai kép és memóriakiírás készül, majd tisztítás/helyreállítás történik. A törvényszéki vizsgálatokat nem ruházzák át az MI-re.

9. Mi a technikai ellenőrzés egyik legmegbízhatóbb rétege egy feltételezett adathalász e-mail elemzésekor, és hogyan kell megerősíteni?

• A) Az SPF/DKIM/DMARC e-mail fejléceket eredményez; A nyers címből megerősítve, nem az AI összefoglalójából ✔
• B) Az e-mail színe és betűtípusa; látványterv döntött
• C) Kattintson a gyanús hivatkozásra az élő rendszeren, és nézze meg a megnyíló oldalt.
• D) A mesterséges intelligencia önmagában elegendő bizonyíték arra, hogy „adathalászat”.

Magyarázat: Az SPF/DKIM/DMARC eredmények az e-mail fejlécekben jól jelzik, hogy az e-mail valóban arról a tartományról származik-e, amelyre hivatkozik; Ha mindhárom sikertelen, és a feladó meghamisítja a tartományt, a gyanú erősebbé válik. Ezt azonban a nyers címből kell megerősíteni, nem pedig az AI összefoglalójából. Ezenkívül a gyanús hivatkozásokra soha nem kattintanak az élő rendszeren.

10. Egy kódfelülvizsgálat során az AI egy XSS-sebezhetőség javítását javasolta, és azt mondta, hogy „bezárja a sebezhetőséget”. Mit tegyen az elemző/fejlesztő?

• A) Megbízhatónak tartja a javítást, és közvetlenül a gyártásba helyezi
• B) Áttekinti a javítást, megerősíti, hogy az valóban bezárja a biztonsági rést, és nem vezet be új sebezhetőséget/hibákat, és tesztet ír; Csak ezután kerül a raktárba ✔
• C) Mivel nem biztos benne, átírja a teljes fájlt a mesterséges intelligenciára, és felhasználja.
• D) Alkalmazza a javítást, de tesztírás nélkül sikeres

Magyarázat: Az AI által javasolt javítás nem automatikusan biztonságos; Előfordulhat, hogy nem zárja be teljesen a sebezhetőséget, rossz réteget tisztít meg, vagy új sebezhetőséget/működési hibát vezet be. Minden javítást áttekintenek, értékelnek, hogy valóban bezárja-e a sebezhetőséget, és nem vezet-e be új problémákat, valamint pozitív és negatív teszteseteket írnak; Csak ezután kerül be a raktárba.

11. Egy támadás elemzésekor a mesterséges intelligencia azt mondta, hogy „ez egyértelműen az APT-Dark Eagle csoport munkája”. Mi a helyes megközelítés a fenyegetésekkel kapcsolatos hírszerzés szempontjából?

• A) Fogadja el a hivatkozást úgy, ahogy van, és írja be a jelentésbe, mint „határozott elkövető”
• B) A teljes védekezését erre a csoportra építi, anélkül, hogy megkérdőjelezte volna a csoport nevét.
• C) A pontos attribúció helyett a „technikákkal összhangban álló” nyelvezetet használ, ellenőrzi a csoportot az ismert forrásokban, és figyelembe veszi a kitalálás lehetőségét ✔
• D) Az idézés mindig szükségtelen, egyáltalán nem veszik figyelembe

Magyarázat: A csoportos hozzárendelés az intelligencia legnehezebb és legpontatlanabb területe; A mesterséges intelligencia akár olyan zenekarnevet is kitalálhat, amely nem is létezik. A pontos hivatkozás helyett az „ezekkel a technikákkal kompatibilis” nyelvet használják, és a csoport nevét megerősítik az ismert hírszerzési források. Ezenkívül a védelem nem a rövid élettartamú IOC-kon alapul, hanem az állandó TTP-észlelésen.

12. Az incidensjelentés tervezetében az AI azt a mondatot írta, hogy „a támadó valószínűleg három hétig volt bent, és kiszűrte az ügyfelek adatait”; mivel nincs meggyőző logikus bizonyíték ezen állítások alátámasztására. Mit tegyen az elemző?

• A) A mondatot úgy hagyja, ahogy van, mert drámai és lenyűgöző
• B) Kihagyja a mondatot, de a végére hozzáteszi, hogy „mesterséges intelligencia írt”.
• C) A teljes jelentést újranyomtatja a mesterséges intelligenciának, és ellenőrzés nélkül aláírja.
• D) Kijavítja a bizonyítékokon alapuló állításokat; Különbséget tesz a „lehetséges/bizonyított/vizsgálat alatt álló” között, és bizonyíték nélkül kivonja a végleges kijelentést ✔

Megjegyzés: A hivatalos biztonsági jelentésben minden állítást alá kell támasztani, és a „valószínű” szót soha nem szabad összetéveszteni a „bizonyítottal”. A bizonyítékok nélküli követelésnek jogi, pénzügyi és hírnévre vonatkozó következményei vannak. Az elemzőnek javítania kell a mondatot a bizonyítékoknak megfelelően (például írja meg az első észlelt hozzáférés dátumát, és mondja ki, hogy „nem találtunk meggyőző bizonyítékot, a vizsgálat folyamatban van” az adatszivárgás miatt).

13. A menedzser a biztonsági naplókból mesterséges intelligenciával szeretné profilozni az alkalmazott minden tevékenységét, hogy megértse, „hűséges”-e vagy sem. Mit tegyen egy biztonsági szakember?

• A) Elutasítja a kérelmet és a megfelelő csatornához irányítja (HR/jogi/meghatározott vizsgálat); a biztonsági adatok nem a személyes megfigyelés eszközei ✔
• B) Létrehozza és kézbesíti a profilt, mert a menedzser kéri
• C) Csak néhány naplót bont ki, és részleges profilt ad
• D) A profilt mesterséges intelligencia hozza létre, mert a felelősség átszáll a mesterséges intelligenciára

Leírás: A biztonsági adatokat biztonsági célból gyűjtjük; Egy személy nyomon követése/profilizálása visszaélés, személyes megfigyeléssé válik és sérti a KVKK-t. A szakértőnek ezt a kérést el kell utasítania, és a megfelelő csatornához (HR, jogi, meghatározott és legitim vizsgálati keret) kell továbbítania. A jóindulat vagy a menedzser vágya nem igazolja ezt a határt.

14. Az SOC dönti el, hogy a biztonsági munkafolyamat mely lépéseit automatizálja. Melyik a legjobb elv az automatizáláshoz?

• A) A legnagyobb kockázatú döntéseket először automatizálni kell, hogy ne legyen emberi beavatkozás
• B) Az alacsony kockázatú/visszafordítható lépések automatizáltak; A nagy kockázatú/visszafordíthatatlan lépések az emberi ajtó előtt maradnak, és minden automatizálásnak megvan a módja a hatástalanításra ✔
• C) Minden SOC-nak teljesen automatizáltnak kell lennie, és az önellenőrzés szükségtelen
• D) Az automatizált műveleteket nem kell visszavonni, mert az AI nem hibázik

Magyarázat: Alacsony kockázatú, ismétlődő és visszafordítható lépések (naplógyűjtés, riasztás dúsítás) automatizálhatók; A nagy kockázatú, visszafordíthatatlan és ítélkezést igénylő lépések (szerver elkülönítése, gyártásfoltozás, hivatalos értesítés) áthaladnak az emberi ajtón. Ezenkívül minden automatikus műveletnek szűk kritériumokkal és visszavonási móddal kell rendelkeznie. Az automatizálás nem vonja el a felelősséget, csak felgyorsítja.