Keuntungan:
- Pahami bagaimana perburuan ancaman dimulai dengan hipotesis yang dapat diuji, bukan alarm, dan bagaimana kecerdasan buatan membantu dalam pembuatan hipotesis dan penyusunan kueri.
- Kemampuan untuk menerapkan bahwa sinyal sebaliknya/langka yang disorot oleh kecerdasan buatan tidak secara otomatis berarti niat jahat, dan hipotesis tersebut harus dikonfirmasi dengan bukti mentah.
- Kemampuan untuk memverifikasi nomor teknis MITRE ATT&CK dan ID peristiwa yang diberikan oleh kecerdasan buatan dengan sumber resmi dan menghilangkan detail teknis palsu
Pemantauan keamanan klasik bekerja dengan logika "tunggu alarm, lihat kapan alarm itu datang". Namun penyerang yang paling berbahaya berusaha untuk tidak menimbulkan peringatan: mereka menggunakan alat yang sah (ini disebut “eksploitasi” — yaitu menyalahgunakan alat yang sudah ada di sistem, seperti PowerShell, WMI), bergerak lambat, dan mengganggu lalu lintas normal. Itu sebabnya perburuan ancaman lahir: tanpa menunggu alarm, "jika ada penyerang yang saat ini tidak terdeteksi di organisasi saya, di manakah dia?" Secara proaktif mencari jejak dengan pertanyaan: Perburuan ancaman dimulai dengan hipotesis, bukan alarm.
Kecerdasan buatan sangat berguna dalam dua hal dalam perburuan ancaman. Yang pertama adalah pembuatan hipotesis: berikan teknik serangan dan tanyakan "Jika teknik ini digunakan di institusi saya, pada log yang mana dan dalam pola apa teknik tersebut akan meninggalkan jejak?" kamu bisa bertanya. Yang kedua adalah ekstraksi sinyal: ini dapat menyoroti hal-hal yang jarang terjadi, outlier, "berbeda dari biasanya" dalam data besar. Namun AI tidak mengetahui apa yang normal bagi organisasi Anda dan mungkin terjebak dalam pemikiran bahwa hipotesis "terbukti". Dalam perburuan ancaman, AI adalah mitra pikiran dan pemindai; Pemburu (analis) memutuskan apakah mangsanya menemukan ancaman nyata dan apakah hal ini akan dilaporkan.
Langkah-langkah perburuan ancaman
- Berhipotesis. Kalimat yang konkrit dan dapat diuji: "Penyerang mungkin memindai jaringan internal di luar jam kerja dengan akun yang disusupi." Anda dapat menggunakan AI untuk bertukar pikiran di sini.
- Identifikasi sumber data. Log manakah yang membuktikan/menyangkal hipotesis tersebut? (Misalnya, log firewall dan DNS untuk pemindaian jaringan, log identitas untuk peningkatan hak istimewa.)
- Rancang kueri. Kueri yang akan mencari pola yang ditargetkan (bahasa kueri SIEM, KQL, mirip SQL). AI membantu dalam menyusun pertanyaan; tapi Anda meninjau kueri dan menjalankannya.
- Ekstrak hasilnya. Filter sinyal nyata dari ratusan garis keluaran. Di sini AI melakukan pengelompokan dan peringkasan.
- Konfirmasikan atau bantah. Konfirmasikan dengan bukti mentah dan konteks apakah jejak yang ditemukan benar-benar berbahaya atau tidak.
- Dokumentasikan hasilnya dan jadikan tekad. Ubah pola aktual yang ditemukan menjadi aturan deteksi permanen; Jika hipotesis gagal, catat juga (hasil negatif juga merupakan informasi).
Istilah: TTP (Taktik, Teknik, Prosedur - pola perilaku penyerang). MITRE ATT&CK adalah perpustakaan teknik penyerang yang disebutkan dan didokumentasikan (misalnya T1078 “Akun Valid”); Hal ini memberikan kesamaan dalam perburuan ancaman. IOC (Indikator Pelanggaran — IP buruk, hash, domain). White noise (daftar putih/diketahui baik) adalah perilaku normal yang diketahui mengorbankan mangsa.
Tabel pendekatan perburuan ancaman
Pendekatan
titik awal
Kontribusi AI
Perhatian
Perburuan berdasarkan hipotesis
"Jika ada penyerang seperti itu..."
Pembuatan hipotesis, deskripsi pola
Hipotesis bukanlah bukti
Perburuan berbasis IOC
Indikator buruk yang diketahui
Mencocokkan IOC dengan log
IOC yang lama/salah menyesatkan
Perburuan berbasis TTP/ATT&CK
Sebuah teknik (T-number)
Mengubah teknik menjadi pola log
Teknik ≠ pola tunggal
Perburuan berbasis anomali
Penyimpangan statistik
Sorot outliernya
Pelawan ≠ itikad buruk
Analisis frekuensi tumpukan
“Apa yang paling langka?”
Menemukan kejadian langka
Jarang ≠ berbahaya
tiga kasus mini
Kasus 1 — Menemukan hal yang langka. Seorang pemburu mungkin bertanya, "Proses mana di jaringan internal yang berjalan pada komputer paling sedikit namun membangun koneksi jaringan paling banyak?" menetapkan hipotesisnya. AI menyoroti pola dari data koneksi proses yang dianonimkan: sebuah proses bernama svchost32.exe, terlihat hanya pada 2 mesin, terhubung ke 340 alamat eksternal yang berbeda. Pemburu memeriksanya; Ia menemukan malware yang meniru svchost.exe yang sah. AI menyaring yang langka; Pemburu membuat diagnosis dan intervensi.
Kasus 2 — Perburuan yang gagal (tetapi berharga). Seorang pemburu bertanya "mungkinkah ada pengunduhan data massal di luar jam kerja?" menetapkan hipotesisnya; AI menulis draf kueri yang relevan. Hasil: 3 pengguna mendownload pada malam hari, namun ketiganya adalah pekerja kantoran di luar negeri dan bekerja pada jam kerja karena perbedaan zona waktu. Hipotesis tersebut terbantahkan. Pemburu mendokumentasikan ini sebagai "hasil negatif" dan mencatat 3 pengguna ini sebagai pengecualian untuk perburuan di masa depan. Bahkan perburuan yang gagal memungkinkan kami untuk mengenal institusi tersebut lebih baik.
Kasus 3 — Jebakan teknis yang dibuat-buat. Seorang pemburu bertanya kepada AI, "Bagaimana cara mencari teknik T1055 di organisasi saya?" mengatakan. AI menulis pertanyaan dan pernyataan yang meyakinkan bahwa “T1055 menghasilkan ID peristiwa berikut”; tetapi ID peristiwa yang dia berikan salah dan modelnya merupakan sub-teknik ATT&CK. Avcı membuka catatan MITRE ATT&CK, mengonfirmasi deskripsi teknis dan sumber log sebenarnya, dan memperbaiki ID peristiwa yang salah. Pelajaran: Verifikasi setiap detail teknis yang diberikan AI (ID peristiwa, nomor T, bidang log) dengan sumber resmi.
Perintah lemah / Perintah kuat
Perintah yang lemah:
Cari tahu apakah ada penyerang di jaringan saya.
Klaim ini bebas hipotesis, bebas data, tidak terbatas, dan tidak dapat diverifikasi. AI menghasilkan daftar umum atau daftar yang dibuat-buat; itu tidak ada gunanya.
Perintah yang kuat:
Peran Anda: asisten yang memberikan ide dan garis besar kepada pemburu ancaman. Jangan putuskan, jangan bilang "ada ancaman". Hipotesis saya: "Akun yang disusupi mungkin memindai port internal di luar jam kerja." Hasilkan yang berikut ini: (1) daftarkan sumber log yang akan membuktikan dan MENYEBARKAN hipotesis ini, (2) jelaskan pola konkret yang akan dicari (bidang mana, ambang batas apa), (3) tulis draf contoh kueri dan beri komentar pada setiap baris, (4) tuliskan penjelasan yang tidak bersalah mana yang akan dihilangkan dalam hasil yang dihasilkan. Sarankan teknik MITRE ATT&CK yang relevan, namun tandai T-number dan event ID sebagai "[harus diverifikasi dari MITRE]", jangan mengada-ada.
Klaim yang kuat dimulai dengan hipotesis konkrit, menetapkan keseimbangan bukti/sanggahan, menjelaskan pertanyaan, dan menyerahkan detail teknis pada verifikasi.
Templat cepat yang dapat disalin
TEMPLATE PEMBANGUNAN HIPOTESISUntuk institusi saya [entitas: mis. Menghasilkan hipotesis perburuan ancaman yang dapat diuji dalam konteks [Direktori Aktif / cloud / titik akhir]5. Untuk setiap hipotesis: (1) perilaku penyerang mana yang menjadi targetnya, (2) sumber log mana yang akan memberikan bukti/sanggahan, (3) pola yang diharapkan. Buatlah kalimat yang dapat diuji, bukan kalimat umum.
POLA TEKNIK Saya akan mencari teknik serangan berikut di institusi [nama teknik] saya. Hasilkan: (1) area log di mana teknik ini biasanya meninggalkan jejak, (2) pola dan ambang batas konkret yang harus dicari, (3) situasi yang tidak berbahaya (positif palsu) yang dapat memicu pola ini. Tawarkan nomor T MITRE ATT&CK yang relevan tetapi dengan tanda "[Harus diverifikasi dari MITRE]"; jangan memberikan ID/nomor acara palsu.
TEMPLATE DRAFT QUERYTulis draf kueri [SIEM/KQL/SQL] yang mencari pola berikut: [deskripsi pola].Komentar setiap baris, jelaskan bidang mana yang Anda filter dan alasannya, dan tandai risiko kinerja. Saya akan meninjau kueri tersebut dan menjalankannya; jangan berasumsi Anda akan menjalankannya. Biarkan nama field bertanda "[koreksi skema]" sesuai skema yang saya tahu.
TEMPLATE PENGHILANGAN HASIL Hasil perburuan saya menghasilkan baris berikut (anonim): [tempel]. Kelompokkan semuanya, dan untuk setiap kelompok tuliskan (1) skenario jahat, (2) setidaknya 2 penjelasan yang tidak bersalah, dan (3) bukti tambahan yang perlu dicari untuk membedakannya. Pengambilan keputusan; Jangan biarkan aku memisahkanmu. Tandai "[tidak ada dasar]" untuk klaim yang tidak memiliki bukti.
Kesalahan umum
- Berburu tanpa hipotesis. Mengatakan “temukan sesuatu” mendorong AI untuk menebak dan berbaikan; Perburuan dimulai dengan kalimat yang konkrit dan dapat diuji.
- Salah mengira hipotesis sebagai bukti. Perburuan menguji suatu kemungkinan; Jejak yang ditemukan bukanlah “ancaman” sampai dikonfirmasi oleh bukti mentah.
- Secara otomatis menganggap yang sebaliknya sebagai sesuatu yang buruk. Hal yang langka/pencilan sering kali tidak disengaja (pemeliharaan, perangkat lunak baru, pekerjaan satu kali); Saring dengan konteks.
- Tidak memverifikasi detail teknis. AI dapat mencocokkan ID peristiwa, nomor T, dan bidang log; Konfirmasikan dengan MITRE ATT&CK dan dokumentasi produk.
- Membuang hasil tangkapan yang terbuang. Hasil negatifnya juga berupa pengetahuan: mengenal organisasi lebih baik, mengurangi kesalahan positif di masa depan; dokumen.
Tip: Hipotesis perburuan ancaman yang baik harus “dapat diuji”: klaim konkret yang mungkin benar atau salah. “Apakah ada sesuatu yang buruk di jaringan saya?” tidak dapat diuji; “Apakah akun X terhubung ke lebih dari 50 IP internal di luar jam kerja?” dapat diuji.
Perhatian: Perburuan ancaman hanya dilakukan pada sistem yang Anda izinkan untuk melakukannya. Meminta AI untuk "menyelidiki" organisasi, orang, atau jaringan lain yang tidak Anda miliki izinnya merupakan upaya untuk mendapatkan akses tidak sah dan berada di luar modul ini.
Singkatnya
Perburuan ancaman secara proaktif mencari jejak penyerang tersembunyi tanpa menunggu alarm, dan ini dimulai dengan hipotesis, bukan alarm. AI menawarkan dua kontribusi yang kuat dalam proses ini: menghasilkan hipotesis dan draf kueri yang dapat diuji, dan memfilter sinyal langka/outlier dari data besar. Namun AI tidak mengetahui apa yang normal bagi organisasi Anda, AI dapat mengarang detail teknis dan terjebak dalam kesalahan mengira hipotesis sebagai bukti. Jadi perburuan memiliki enam langkah (hipotesis, data, kueri, ekstrak, verifikasi, dokumentasi) dan pada setiap langkah keputusan ada di tangan pemburu. Kontrarian ≠ buruk, hipotesis ≠ bukti, detail teknis yang diberikan oleh AI ≠ benar; semua dikonfirmasi oleh bukti mentah dan MITRE ATT&CK.
Tugas aplikasi
Dapatkan 5 hipotesis perburuan ancaman dari AI dengan templat “Pembuatan Hipotesis” untuk organisasi Anda sendiri (atau lingkungan sampel). Pilih yang paling dapat diuji, buat draf kueri dengan templat “Teknik Pola” dan “Draf Kueri”, validasi setiap baris dalam kueri dan setiap nomor T yang disarankan di MITRE ATT&CK. Tuliskan hasilnya (apakah hipotesis terkonfirmasi, terbantahkan, apa yang Anda pelajari) dalam catatan singkat.
daftar periksa
- [ ] Saya memulai perburuan saya dengan hipotesis yang konkrit dan dapat diuji.
- [ ] Saya telah mengidentifikasi sumber log yang akan membuktikan dan menyangkal hipotesis.
- [] Saya meninjau setiap baris draf kueri dan menyesuaikannya dengan skema saya sendiri.
- [ ] Saya memverifikasi teknik MITRE ATT&CK yang diusulkan dan ID acara dengan sumber resmi.
- [ ] Saya mengkonfirmasi setiap sinyal dengan bukti dan konteks mentah; Saya tidak secara otomatis menganggap hal sebaliknya sebagai sesuatu yang buruk.
- [ ] Saya juga mendokumentasikan hipotesis yang gagal (hasil negatifnya adalah informasi).
- [ ] Saya hanya berburu pada sistem yang saya izinkan untuk berburu.