Nyereség:
- Annak megértése, hogy a mesterséges intelligencia felgyorsítja az incidensre adott válaszokat a bizonyítékok összegzésével, az idővonal megállapításával, a kiváltó okok válogatásával és a forgatókönyv-írással, de az elkülönítés/zárolás/bezárás/értesítés döntése a felhatalmazott csapaté.
- Képes értékelni az elszigetelési lehetőségeket az üzleti hatás és a visszafordíthatóság szempontjából, és nem kell elkülöníteni a kritikus infrastruktúrát hatásának mérése nélkül
- Képes megérteni, hogy a helyreállítási sebesség nem tudja felülmúlni a bizonyítékok megőrzését (törvényszéki kép, bizonyítéklánc), és hogy a kriminalisztikai lépéseket nem lehet átvinni a mesterséges intelligenciára
Amikor egy biztonsági incidens megtörik, az idő az ellenség. Ahogy a ransomware kezd terjedni, ez azt jelenti, hogy percenként több gépet titkosítanak; Ha egy fiókot feltörtek, a támadó percenként mélyebbre ás. Az incidensreakció (röviden IR) a biztonsági incidens észlelésének, korlátozásának, tisztításának és normál állapotba állításának folyamata. Az IR nyomás alatt, hiányos információkkal és az óra ketyegésével hoz döntéseket; Pontosan ezért kell gyorsnak és fegyelmezettnek lennie.
A mesterséges intelligencia felbecsülhetetlen sebességet hoz az IR-be: gyorsan összefoglalja a szétszórt bizonyítékokat (naplók, riasztások, EDR-adatok), felállítja az esemény idővonalát, felsorolja a lehetséges kiváltó okokat, elkészíti a játékkönyv-vázlatot (előre meghatározott, lépésről lépésre történő beavatkozási útmutató), és felvázolja a beavatkozás utáni jelentést. De az IR-ben a legkritikusabb döntések – a rendszer hálózattól való elkülönítése, fiók zárolása, szerver leállítása, bizonyítékok törlése vagy megőrzése – olyan döntések, amelyek visszafordíthatók, üzleti megszakítást okozhatnak, és hatással lehetnek a bírósági folyamatokra. Ezeket nem lehet AI-ra delegálni. Az AI egy elemző és rajzoló motor az IR-ben; Az elkülönítésről, zárolásról, bezárásról és értesítésről szóló döntés az illetékes reagáló csoport hatáskörébe tartozik.
Az incidensre adott válasz szakaszai
Az iparág közös keretrendszere (a NIST alapján) hat fázisból áll. Az AI segítsége és korlátja minden szakaszban eltérő:
- Felkészülés: Előre készen vannak a játékfüzetek, szerepek, kommunikációs terv. A mesterséges intelligencia segít játékkönyvek és gyakorlati forgatókönyvek készítésében – az esemény előtt, nem pedig abban a pillanatban.
- Észlelés és elemzés: Az esemény ellenőrzése és hatóköre meghatározásra kerül. A mesterséges intelligencia összefoglalja a bizonyítékokat, meghatározza az idővonalat, és felsorolja a kiváltó okok hipotéziseit. A döntés az elemzőn múlik.
- Elzárás: A terjedést leállították (elszigetelés, számlazár). Ez a kritikus döntés az embereké; Az AI csak a lehetőségeket és azok hatásait sorolja fel.
- Felszámolás: A rosszindulatú, hátsó ajtós, feltört fiókok törlődnek. Az AI ellenőrzőlistát készít; a megvalósítás és az ellenőrzés emberi dolog.
- Helyreállítás: A rendszerek visszaállítása és ellenőrzése ellenőrzött módon történik. Az AI megfigyelési tervet javasol.
- Tanulságok: kiváltó ok, idővonal, fejlesztés. Az AI jelentéstervezeteket és javítási javaslatokat készít; A jóváhagyó csoport tagja.
Kifejezések: EDR (Endpoint Detection and Response – olyan szoftver, amely végpontokon, azaz számítógépeken fut, és képes észlelni a gyanús viselkedést és reagálni rá). A kiváltó ok az esemény tényleges kiindulópontja („Hogyan kerültek be egyáltalán?”). A felügyeleti lánc megszakítás nélkül rögzíti, hogy ki, hogyan és mikor gyűjtötte be a törvényszéki bizonyítékokat; Kritikus a jogi folyamatban. Az MTTR (Mean Time To Respond) az IR csapat teljesítményének mérőszáma.
Döntési jogosultság táblázat
IR akció
Az AI szerepe
Ki dönti el
Miért
Bizonyítékok összegzése, idővonal
producer, gyorsító
Az elemző megerősíti
Hallucinációk veszélye
A kiváltó ok hipotézise
Válogató, javaslat
elemzője
Kontextus és bizonyíték szükséges
Playbook vázlat (korábban)
vázlatgenerátor
Az IR vezetője megerősíti
Alkalmazhatóság
Izolálja le a rendszert
Csak a lehetőségek listája
feljogosított elemző
Üzleti megszakítás, visszatérés
Fiókzárolás
Hatáselemzést ad
feljogosított elemző
A rossz zár leállítja a működést
Bizonyítékok törlése/megőrzése
Figyelmeztetések, javaslatok
IR vezető + jog
A bírósági eljárás érintett
Jogi/szabályozási közlemény
tervezet írója
Jog + menedzsment
Jogi felelősség
három mini tok
1. eset – Gyors összefoglaló nyomás alatt. A ransomware riasztás 2:40-kor érkezik. Az elemző EDR- és tűzfalnaplókat ad (anonimizálással) az AI-nak. A mesterséges intelligencia 90 másodpercenként készít egy idővonalat: "01:55 adathalász melléklet megnyitása, 02:10 PowerShell letöltése, 02:30 oldalirányú mozgás megkezdése, 3 gép érintett." Az elemző megerősíti ezt a láncot a nyers EDR rekorddal, saját belátása szerint elkülöníti a 3 érintett gépet, és megállítja a terjedést. Az AI 90 másodpercre csökkentette a 20 perces bizonyítékolvasást; Az elemző az elszigetelésről döntött.
2. eset – Rossz elkülönítési javaslat. Egy esetben a mesterséges intelligencia azt mondja: „Az IC_HOST_7 forgalom gyanús, elkülönítve.” Az elemző ellenőrzi a kontextust: IC_HOST_7 a szervezet fő hitelesítési kiszolgálója; Ha elszigetelt, az összes alkalmazott abbahagyja a belépést. Sőt, a forgalom oka jogos biztonsági mentés. Az elemző nem izolálja, vagy csak figyeli a gyanús kapcsolatot. Tanulság: A mesterséges intelligencia izolációs ajánlása nem valósítható meg az üzleti hatás ismerete nélkül; A kritikus infrastruktúra esetében a döntés körültekintően emberi.
3. eset – A bizonyítékok véletlen megsemmisítése. A takarítani siető csapat megkérdezte az AI-t: "Hogyan tisztítsam meg gyorsan ezt a gépet?" kérdi; Az AI felajánlja a rendszer újratelepítését. De a gép olyan törvényszéki bizonyítékokat tartalmaz (memóriadump, támadóeszközök), amelyeket még nem gyűjtöttek össze; az újratelepítés tönkretenné a bizonyítékok láncát. A vezető elemző először gondoskodik a kép (kriminalisztikai másolat) elkészítéséről, majd megtisztítja. Tanulság: a gyógyulás gyorsasága nem tudja felülmúlni a bizonyítékok megőrzését; a bírósági lépéseket nem ruházzák át az AI-ra.
Gyenge felszólítás / Erős felszólítás
Gyenge felszólítás:
Ransomware támadás történt, mit tegyek? Milyen gépeket kapcsoljak ki?
Ez a felszólítás közvetlen működési döntést kér az AI-tól (melyik gépet kell leállítani), nem ad kontextust, üzleti hatást és bizonyítékot sem. Az AI általános vagy kockázatos utasítást ad; Ha vakon alkalmazzák, a munka leáll, vagy a bizonyítékok eltűnnek.
Erőteljes felszólítás:
Az Ön szerepköre: asszisztens, aki ELEMZÉST és OPCIÓKAT biztosít az incidensreagáló csapat számára. Ne hozzon döntést; ne azt parancsolja, hogy "kapcsolja ki/szigetelje el azt a gépet", csak sorolja fel a lehetőségeket és mindegyik lehetséges hatását. A következő anonim bizonyítékok feldolgozása: [EDR/napló összefoglaló]. Az Ön feladata: (1) állítson össze egy valószínű esemény idővonalát, mutassa meg, milyen bizonyítékokra alapoz minden lépést, jelölje meg az alap nélkülit "[ellenőrizni kell]", (2) soroljon fel 3 kiváltó ok-hipotézist, írja le mindegyik tesztelésének módját, (3) listázza ki az elszigetelési LEHETŐSÉGEKET (az üzleti hatások elkülönítése, ellenőrzése, visszaírása; bízza rám a döntést,(4) emlékeztessen arra, hogy milyen lépésekre van szükség a bizonyítékok megőrzéséhez, MIELŐTT az elszigetelést.
Az erős kereslet korlátozza a mesterséges intelligenciát mint opciószolgáltatót, bizonyítékokhoz köti, hangsúlyozza az üzleti hatást és a bizonyítékok megőrzését, és a döntést az emberekre bízza.
Másolható prompt sablonok
ESEMÉNY IDŐVONAL SABLON Készítsen időrendi eseményidővonalat ebből az anonim IR bizonyítékból. Minden sor: [idő] [esemény] [bizonyítékok forrása]. Lépés hozzáadása időbélyeg vagy bizonyíték nélkül; az üresen jelölje be, hogy "[hiányzik - be kell gyűjteni]". Döntés/ajánlás, rangsorolás csak bizonyítékok alapján. Bizonyíték: [beillesztés]
GYÖKOROK HIPOTÉZIS SABLON Generáljon 3-5 legvalószínűbb kiváltó ok hipotézist ehhez az eseményhez. Minden egyes hipotézis esetében: (1) az alapjául szolgáló bizonyítékok, (2) további bizonyítékok, amelyeket ennek megerősítésére kell gyűjteni, (3) minden egyéb, várható nyom, ha igaz. Ne nyilvánítsa egyiket sem biztosnak; Használjon valószínűségi nyelvet. Esemény összefoglaló: [beillesztés]
SZERZŐDÉS LEHETŐSÉGE SABLON Sorolja fel az elszigetelési LEHETŐSÉGEKET a következő helyzethez (elszigetelés / monitor / lezárás / szegmens). MINDEN lehetőség esetében: üzleti hatás, megtérülési nehézség, bizonyítékokra gyakorolt hatás, törvényszéki kockázat. Ne parancsolj nekem; én meghozom a döntést. Különösen alkalmas kritikus infrastruktúra (identitás, DNS, biztonsági mentés) esetén. Állapot: [beillesztés]
PLAYBOOK DRAFT TEMPLATE (előkészület az eseményre) A következő forgatókönyvhöz [pl. munkahelyi e-mail kompromisszum] írjon lépésről lépésre beavatkozási játékkönyvet TERVEZET: trigger, szerepek, elszigetelés, megsemmisítés, helyreállítás, kapcsolatfelvétel, értesítés lépései. Tegyen egy „[emberi jóváhagyás]” pipát minden kritikus döntés mellé. Ez a tervezet az IR vezető jóváhagyása nélkül nem lép hatályba.
Gyakori hibák
- Hagyja, hogy az AI hozza meg az operatív döntéseket. A „Melyik gépet kapcsoljam ki” kérdés az üzleti hatást ismerő csapaté, nem pedig az AI-é; Az AI csak választási lehetőséget és befolyást kínál.
- Bizonyítékok gyűjtése anélkül. Törvényszéki bizonyítékok megsemmisítése a gyorsaság kedvéért visszafordíthatatlan; A kép és a memória kiíratása az elkülönítés/tisztítás előtt.
- Az idővonal importálása a jelentésbe ellenőrzés nélkül. A mesterséges intelligencia felállíthatja az események láncolatát; Erősítsen meg minden lépést nyers bizonyítékokkal.
- A kritikus infrastruktúra elkülönítése gondolkodás nélkül. Az identitás, DNS, tartalék szerver elkülönítése az egész szervezetet leállíthatja; először mérje meg a hatást.
- A Playbook megírása az eset idején először. A játékkönyv az előkészítési szakaszban készül; Ha az incidens idején a semmiből próbál írni, pánikot és hibákat okoz.
Tipp: IR-ben mindig mondja meg az AI-nak, hogy "sorolja fel a lehetőségeket és azok hatásait, hadd döntsek." Ez az egyetlen mondat az AI-t veszélyes „autopilótából” biztonságos „tanácsadóvá” változtatja.
Figyelem: A rendszer elkülönítése, a fiók zárolása vagy a bizonyítékok törlése visszafordíthatatlan következményekkel járhat, és hatással lehet a bírósági/jogi folyamatokra. Ezeket a döntéseket a felhatalmazott reagálási csoport, valamint szükség esetén a jogi és a vezetőség jóváhagyásával hozzák meg; Az AI kimenet javaslat, nem parancs.
Összefoglalva
Az incidensre adott válasz gyors és fegyelmezett döntéshozatalt igényel nyomás alatt és az óra ketyegésével. A mesterséges intelligencia nagymértékben növeli ezt a sebességet a bizonyítékok összegzésével, az idővonal felépítésével, a kiváltó okok rendezésével és a játékkönyv-vázlatokkal. De az IR legkritikusabb intézkedései – elszigetelés, fiókzárolás, rendszerleállítás, bizonyítékok törlése/megőrzése, jogi értesítés – olyan visszafordíthatatlan döntések, amelyek az üzlet megszakításához és jogi következményekhez vezetnek, és nem ruházhatók át az MI-re. A hat fázis mindegyikében (előkészítés, felderítés, elszigetelés, megsemmisítés, mentés, lecke) a mesterséges intelligencia elemzést és tervrajzot készít; A döntés a felhatalmazott csapaté. Két aranyszabály: tisztítsa meg a bizonyítékokat anélkül, hogy megőrizné azokat, különítse el a kritikus infrastruktúrát anélkül, hogy mérné a hatását.
Pályázati feladat
Válasszon egy esetet (pl. fiókátvétel adathalászat után). Vázolja fel a mesterséges intelligencia elemzését az „Esemény idővonala” és a „Rögzítő okok hipotézise” sablonokkal; Írja le a bizonyítékokat, amelyeket az idővonal egyes lépéseinek ellenőrzésére fog használni. Ezután a „Limiting Option” sablonnal, ha három korlátozó lehetőség áll rendelkezésére, értékelje ki mindegyikük üzleti hatását, és jegyezze meg, melyiket választaná és miért (és mit tenne először a bizonyítékok megőrzése érdekében).
ellenőrző lista
- [ ] Korlátoztam az AI-t, mint opció/elemző szervert; Meghoztam az operatív döntést.
- [ ] Nyers bizonyítékokkal igazoltam az idővonal minden lépését, kigyomlálva a koholmányt.
- [ ] A bizonyítékgyűjtési (kép, memória dump) lépést az elkülönítés/tisztítás előtt terveztem meg.
- [ ] Először a kritikus infrastruktúra elkülönítésének üzleti hatását mértem fel.
- [ ] A kiváltó okokra vonatkozó hipotéziseket tesztelendő lehetőségként kezelem, nem pedig véglegesként.
- [ ] A Playbook-ot a rendezvény előtt elkészítettem és jóváhagyásra benyújtottam az IR vezetőnek.
- [ ] Jogi/adminisztratív jóváhagyást adtam azokra az esetekre, amikor jogi bejelentés szükséges.