Uru:
- Ikike ịhazi ọtụtụ isi mmalite timestamp n'otu ntụaka (UTC) wee kaa akara anomalies na oghere dị na usoro iheomume kacha mma na ọgụgụ isi.
- Ikike ịmata ọdịiche dị n'etiti njikọta na ihe kpatara ya wee nyochaa akụkọ sitere na ọgụgụ isi wuru ewu site na ijikọ ihe omume ọ bụla na isi mmalite ya.
- Ikike ịmata ihe egwu dị ka mkpọ oge, ịkwọgharị elekere na oghere ndekọ wee jiri ọtụtụ isi mmalite kwado ha
Enwere naanị otu ihe na-agwa gị mgbe, otu na n'usoro ihe omume cyber na-eme n'ezie: oge. Mgbe onye na-awakpo na-abanye na usoro, nke faịlụ ọ metụrụ na mgbe, mgbe ọ exfiltrated data - ihe a nile na-echekwara na dị iche iche ndekọ (ndekọ faịlụ ebe usoro na-edekọ ihe omume) na dị iche iche timestamps (timestamp - ndekọ nke ụbọchị na oge mgbe ihe omume mere). Ntụle usoro iheomume na-ahazi akara ngosi oge ndị a gbasasịrị n'ime otu akụkọ oge wee jụọ "gịnị mere?" Ọ bụ nka nke ịza ajụjụ a. Na nkeji a, anyị ga-ahụ ka AI na-enye nnukwu ọsọ na ịhazi data a na-adịghị mma yana ebe ọ nwere ike iduhie gị.
Ọtụtụ na ọnyà nke akara oge
Ọbụna otu faịlụ nwere ọtụtụ timestamps. Dịka ọmụmaatụ, sistemụ faịlụ nwere stampụ MACB: gbanwetụrụ, enwetara, gbanwee, mụọ. Na mgbakwunye, enwere ndekọ ihe omume sistemụ arụmọrụ (Windows Event Log), ndekọ sava weebụ, ndekọ ọkụ ọkụ, ndekọ ngwa na ndekọ (Windows registry - nchekwa data hierarchical ebe echekwara sistemụ na ntọala ngwa) ndekọ.
Ihe kacha emetụta bụ ogologo oge na ogologo oge. Otu ndekọ na-edekọ UTC (oge a na-ahazi oge niile), oge mpaghara nke ọzọ; enwere ike ịtọ elekere sistemụ na-ezighi ezi; Onye mwakpo ahụ nwere ike kpachaara anya megharịa stampụ oge (timestomping — spoofing timestamps file). Yabụ tupu i guzobe usoro iheomume, a ga-ekpebirịrị mpaghara oge na elekere izizi nke isi mmalite ọ bụla, ha niile na-edobe ya na ntụaka nkịtị (na-abụkarị UTC).
Ịdọ aka ná ntị: Ọ bụ ihe na-adịghị mma itinye osisi abụọ n'akụkụ n'akụkụ n'oge dị iche iche wee kwuo "o mere n'otu oge". Tụgharịa akara oge niile ka ọ bụrụ otu ntụaka tupu ejikọta ya; Ma ọ bụghị ya, mmekọrịta akpata-mmetụta nke AI (na gị) guzobeere rere site na mmalite.
Super timeline na AI
Na kọmpụta forensics, usoro nke jikọtara isi mmalite ndị a niile ka a na-akpọ super timeline; A na-ejikarị ngwa ọrụ dị ka Plaso/log2timeline eme ya ma nwee ike ịbụ iri puku kwuru iri puku ma ọ bụ ọbụna nde ahịrị. Nke a bụ ebe AI na-abata: na-aka akara ụkpụrụ na anomalies bara uru na eserese a buru ibu.
Enyemaka echekwabara nke AI:
- Ọkọlọtọ na-adịghị mma: Nnweta n'oge awa, ịrị elu ihe ùgwù mberede, yinye usoro pụrụ iche, ọtụtụ nbanye dara ada n'ime obere oge.
- Nchịkọta mmemme: Ịchịkọta ihe omume ndị na-elekwasị anya n'otu oge na mpio ma na-aka ha dị ka "ihe mere ebe a."
- Nkọwa nkọwa: Ịtụgharị ihe omume ekwenyesiri ike ka ọ bụrụ akụkọ ngụkọ oge n'asụsụ dị larịị (ederede mbụ maka akụkọ ahụ).
- Nchọpụta oghere: "Enweghị ndekọ n'ime nkeji 40 a - enwere ike ihichapụ ha?" Ajụ maka adịghị ike dị ka.
Na nke ọ bụla, AI na-emepụta hypotheses; Ị gosipụtara ihe kpatara ya na uru ihe akaebe.
NDỤMỌDỤ: Mgbe ị na-enye usoro iheomume na AI, buru ụzọ gwa ya n'ụzọ doro anya mpaghara oge na usoro: "Ihe niile timestamps dị na UTC, ISO 8601 format." Normalize mbuaha formats mbụ; Ikwe ka AI na-eche na usoro bụ òkù maka njehie.
Mmekọrịta abụghị ihe kpatara ya
Njehie ezi uche kachasị dị ize ndụ na nyocha oge bụ iche na nchikota bụ ihe kpatara na mmetụta. "Etinyere USB na 22:10, a faịlụ e depụtaghachiri na 22:12" omume abụọ nwere ike ime n'usoro, ma ha adịghị egosi na otu onye mere ya maka otu nzube; Enwere ike inwe nkọwa ọzọ. Ọ bụ ezie na AI na-emepụta akụkọ mara mma, ọ naghị ahụ oghere a ma nwee ike ịmepụta ahịrịokwu dị ka "Ezuru data site na USB." Ọrụ ọkachamara bụ iwepụ nkọwa ndị ọzọ ma kwado nzọụkwụ ọ bụla site na ihe akaebe nke onwe.
Obere ikpe atọ
Ikpe 1 - ejidere mbanye elekere. N'otu oge, log sava weebụ na log firewall dị iche iche maka awa 3. N'ime akwụkwọ mbụ, AI tụlere "mwakpo abụọ dị iche iche." Ọkachamara ahụ chọpụtara na edobere mpaghara oge ihe nkesa na ezighi ezi; Mgbe emeziri nke ọma, ndekọ ndekọ abụọ ahụ dabara n'otu mmemme. Ọdịiche nke "phantom" nke awa 3 agaala.
Ikpe 2 - A oghere kpughere ihichapụ. N'ime usoro iheomume nke nde 1.1, AI gosipụtara na enweghị ndekọ n'etiti 02:30-03:10. Ọkachamara ahụ nyochara: Na mpio a, kpachara anya kpochapụ ndekọ nchekwa (ihichapụ ndekọ). Oghere ahụ n'onwe ya ghọrọ otu n'ime ihe akaebe siri ike nke mwakpo ahụ.
Ikpe 3 - Ịhụ n'anya chepụtara ihe omume. Mgbe ọ na-eme nchịkọta, YZ kwuru, "Emepụtara akaụntụ onye nchịkwa na 03:45." Ọkachamara ahụ lere anya na isi mmalite: ọ nweghị ihe ngosi mmemme dị otú ahụ - ọnụọgụ dị na ndekọ Windows nke na-egosi ụdị ihe omume; AI jikọtara ahịrị abụọ dị iche iche wee mepụta ihe omume na-adịghị adị. Nzọụkwụ njikọ na isi iyi gbochiri akụkọ ụgha ahụ.
Ndebiri anọ enwere ike iṅomi
1) Atụmatụ nhazi oge:
Ọrụ gị: onye nyocha usoro iheomume nke forensic. M ga-enye gị stampụ oge site na isi mmalite dị iche iche (ụdị na oge oge nwere ike ịdị iche). Buru ụzọ chọpụta usoro na mpaghara oge nke isi mmalite ọ bụla, wee wepụta atụmatụ iji tọghata ha niile na UTC / ISO 8601. Kanye mpaghara oge ị na-ejighị n'aka dị ka “nkwalite chọrọ”.
2) Akara anomaly:
Okwu: ihe nkesa ụlọ ọrụ, oge ọrụ nkịtị 08:00-18:00 (UTC+3) .A ga m enye gị ndepụta mmemme ahaziri ahazi. Dabere naanị na ndekọ ndị na-apụta n'ezie na listi ahụ, tulee ihe ndị a: ohere na-apụ apụ, mmụba ihe ùgwù, nbanye na-ada ugboro ugboro, usoro a na-adịghị ahụkebe. Maka akara ọ bụla, kwuo ahịrị dabara adaba. Ịgbakwunye nkọwa / ihe kpatara ya; M ga-enyocha ya.
3) Nkọwa akụkọ (maka akụkọ):
N'okpuru bụ mmemme m kwadoro (nke ọ bụla nwere isi mmalite ya). Tụgharịa ha ka ọ bụrụ akụkọ dị mfe, usoro oge. Jiri naanị ihe omume m na-enye; na-agbakwụnye mmemme ọhụrụ, amụma ma ọ bụ ihe kpatara ya. Dee njikọ na-edoghị anya n'asụsụ na-akọwa ha dị ka "ekwe omume."
4) Nchọpụta oghere na enweghị nkwekọrịta:
N'ime usoro iheomume a na-ahazi: (1) kaa akara oge ndekọ nke a na-atụ anya mana ọ na-efu efu, (2) ndekọ na-adịghị n'usoro (n'ọdịnihu ruo n'oge gara aga), (3) spikes na-apụta ogbe/na-akpaghị aka. Gosi nke ọ bụla nwere oghere ahịrị kwekọrọ. Kọwapụta na ihe ndị a nwere ike ịbụ akara ihichapụ/mgbanwe mana ha abụghị ihe akaebe.
Ngwa ngwa adịghị ike / Ike siri ike
Ngwa ngwa adịghị ike:
Chịkọta ndekọ ndị a ma kọwaa ihe merenụ.
Enweghị usoro oge, isi mmalite ma ọ bụ "ezigbo ndekọ naanị" mmachi; AI nwere ike wulite akụkọ mara mma mana echepụtara echepụta.
Mgbasa ozi siri ike:
Ọrụ gị: onye nyocha ihe ndekọ nke forensic. Isi mmalite: 3 ndekọ (Windows Security, Apache access, firewall), niile normalized ka UTC, ISO 8601. Ọrụ: usoro oge depụta ihe omume site na March 14th 21: 00-23: 00 dabere na nyere ahịrị naanị; Kwuo ahịrị nke ọ bụla na isi mmalite ya yana ID/koodu Omume. Ịmepụta njikọ, na-ekwu ihe kpatara ya; M ga-aza ajụjụ. Kaa akara oge ị hụrụ ka ọ na-efu ma ọ bụ dị iche iche.
Isi mmalite, ntụaka ahaziri ahazi, "naanị ahịrị enyere" yana mmachi "mepụta ihe kpatara ya" na-eme ka mmepụta ahụ bụrụ ihe a ga-azaghachi.
Tebụl nke oge stampụ isi mmalite
Isi mmalite
Ihe atụ timestamp
Nlebara anya
Sistemụ faịlụ (MACB)
Megharịa/nweta/mepụta
Mepee na timestomping
Ndekọ ihe omume Windows
Nbanye, usoro, mmemme ọrụ
Nyochaa NJ mmemme
ndekọ sava weebụ
oge arịrịọ
nlele mpaghara oge
firewall / netwọk
njikọ, ịjụ
Mmekọrịta elekere (NTP)
Ndebanye aha
Oge ide ikpeazụ
Nkwupụta chọrọ nka
Ngwa / ihe nchọgharị
akụkọ ihe mere eme, cache
nwere ike ịbụ oge mpaghara
Mmejọ ndị nkịtị
- Ịmepụta mmekọrịta na-enweghị ịhazi oge oge. Mpekere dị iche iche na-emepụta "concurrency" ụgha.
- Mmekọrịta na-ezighi ezi maka ihe kpatara ya. Ihe omume na-aga n'ihu apụtaghị otu onye na-eme mpụ/ebumnobi.
- Ntụkwasị obi zuru oke na akara oge. Enwere ike itinye oge na oge na-ezighi ezi; Jiri ọtụtụ isi mmalite kwado.
- Na-akwadoghị ihe omume AI gbakọtara. Njikọ nke ahịrị abụọ nwere ike ịmepụta ihe omume adịghị adị.
- Na-eleghara oghere ndị ahụ anya. Ihe ndekọ na-efu efu na-abụkarị ihe akaebe kacha mkpa.
Na nchịkọta
Nyocha usoro iheomume bụ omume nke ijikọta akara oge gbasasịrị agbasa n'ime otu ngụkọ oge enwere ike ịnwapụta. AI na-enye nnukwu ọsọ na ọkọlọtọ anomaly, nchịkọta, nchọpụta oghere, na ịdekọ akụkọ n'ofe usoro iheomume nke nde-ahịrị. Mana nhazi oge nke oge, ọdịiche-ihe kpatara ya na ihe omume ọ bụla sitere na isi mmalite bụ nke mmadụ. AI na-emepụta hypotheses; Ị bụ onye na-agbachitere usoro oge n'ụlọ ikpe.
Ọrụ ngwa
Kwadebe ndepụta ihe omume ihe atụ nke ahịrị 15-20 n'ụdị dị iche iche na mpaghara oge (ama ụma tinye oge ngbanwe na oghere). Buru ụzọ tụgharịa ha niile na UTC site na iji “Time normalization plan” template. Wee tinye ndebiri "Anomaly marking" na "Gap scan" wee nyochaa elekere elekere na oghere nke AI dekọtara na isi mmalite.
ndetu
- [] Emekwara m stampụ oge niile ka ọ bụrụ otu ntụaka (UTC).
- [] Ejikọtara m ihe omume ọ bụla na isi mmalite ya (faịlụ/NJ mmemme / ahịrị).
- [ ] Apụrụ m iche n'etiti njikọ na ihe kpatara ya; M tụlere nkọwa ndị ọzọ.
- [] Enyere m oghere osisi na ndekọ na-adịghị ahụkebe.
- [] Ekwenyere m ihe omume ndị AI kwadoro / chịkọtara na ndekọ mbụ.