Uru:
- Ghọta ka ịchụ nta egwu na-amalite site n'echiche a na-anwale, ọ bụghị mkpu, yana ka ọgụgụ isi na-enyere aka n'ọgbọ hypothesis na nhazi ajụjụ.
- Ikike itinye na mgbaama megidere/nke na-adịghị ahụkebe gosipụtara site na ọgụgụ isi anaghị apụta na ebumnobi ọjọọ na-akpaghị aka, yana na a ga-ejirịrị ihe akaebe kwenye nkwupụta ahụ.
- Ikike iji nyochaa nọmba teknụzụ MITER ATT&CK na NJ ihe omume nyere site na ọgụgụ isi mmadụ site na isi mmalite wee kpochapụ nkọwa teknụzụ echepụtara.
Ochie nche nlekota oru na-arụ ọrụ na ezi uche nke "chere mkpu, lee mgbe ọ na-abịa". Ma ndị na-awakpo ndị kasị dị ize ndụ na-agbalị ka ha ghara iwelie mkpu: ha na-eji ngwá ọrụ ziri ezi (nke a na-akpọ "iji emegbu" - ya bụ, iji ngwá ọrụ ndị dị adị na sistemụ, dị ka PowerShell, WMI), na-aga nwayọọ nwayọọ, na-egbochi okporo ụzọ nkịtị. Ọ bụ ya mere e ji mụọ ịchụ nta egwu: na-echeghị mkpu, "ọ bụrụ na enwere onye na-awakpo ugbu a na nzukọ m, ebee ka ọ ga-anọ?" Na-achọsi ike iji ajụjụ a: ịchụ nta egwu na-amalite site n'echiche, ọ bụghị mkpu.
Ọgụgụ isi dị oke uru na ebe abụọ na ịchụ nta egwu. Nke mbụ bụ ọgbọ nke hypothesis: nye usoro agha ma jụọ "Ọ bụrụ na ejiri usoro a mee ihe na ụlọ ọrụ m, nke ndekọ na olee ụkpụrụ ọ ga-ahapụ ịchọta?" ị nwere ike ịjụ. Nke abụọ bụ mmịpụta mgbaàmà: ọ nwere ike igosi ihe dị ụkọ, nke dị iche, "dị iche na nkịtị" na nnukwu data. Ma AI amaghị ihe na-emekarị maka nzukọ gị ma nwee ike ịdaba n'ọnyà nke iche echiche bụ "egosipụtara." Na ịchụ nta egwu, AI bụ onye mmekọ uche na nyocha; Onye dinta (onye nyocha) na-ekpebi ma anụ oriri ahụ ọ̀ hụrụ ezigbo ihe iyi egwu yana ma a ga-akọ nke a.
Nzọụkwụ ịchụ nta egwu
- Echiche. Ahịrịokwu siri ike, enwere ike ịnwale: "Onye na-awakpo nwere ike na-enyocha netwọkụ dị n'ime n'oge awa anaghị ere ahịa yana akaụntụ mebiri emebi." Ị nwere ike iji AI maka ịtụgharị uche ebe a.
- Chọpụta isi iyi data. Kedu ndekọ na-egosi/na-agbagha echiche a? (Ọmụmaatụ, firewall na DNS ndekọ maka nyocha netwọkụ, ndekọ njirimara maka nkwalite ihe ùgwù.)
- Chepụta ajụjụ ahụ. Ajụjụ nke ga-achọ ụkpụrụ ezubere iche (asụsụ ajụjụ SIEM, KQL, SQL-dị ka). AI na-enyere aka n'ịdepụta ajụjụ; mana ị tụleghachi ajụjụ a wee mee ya.
- Wepụta nsonaazụ ya. Wepụta ezigbo mgbama site na narị narị ahịrị mmepụta. Ebe AI na-eme nchịkọta na nchịkọta.
- Kwenye ma ọ bụ gbaghaa. Jiri ihe akaebe doro anya gosi na ihe gbara ya gburugburu ma nchọta achọtara ọ bụ n'ezie obi ọjọọ ma ọ bụ na aka ya dị ọcha.
- Detuo nsonaazụ wee tụgharịa ya ka ọ bụrụ mkpebi siri ike. Tụgharịa ụkpụrụ n'ezie achọtara ka ọ bụrụ iwu nchọpụta na-adịgide adịgide; Ọ bụrụ na echiche ahụ dara, dekọọ nke ahụ kwa (ihe na-adịghị mma bụkwa ozi).
Usoro: TTP (Usoro, Usoro, Usoro - ụkpụrụ omume onye mwakpo). MITER ATT&CK bụ ọbá akwụkwọ agụpụtara ma dekọọ nke usoro mwakpo (dịka T1078 “Akụkọ Kwesịrị Ekwesị”); Ọ na-enye asụsụ nkịtị na ịchụ nta egwu. IOC (Ngosipụta nke mmebi iwu - IP ọjọọ, hash, ngalaba). Ụzụ ọcha (onye na-acha ọcha/mara-dị mma) bụ omume nkịtị mara ịchụ anụ.
Tebụl nke egwu ịchụ nta nso
Ụzọ
mmalite
Ntinye aka AI
Nlebara anya
Ịchụ nta nke dabeere n'echiche
"Ọ bụrụ na e nwere ụdị mwakpo ahụ..."
Ọgbọ hypothesis, nkọwa ụkpụrụ
Echiche abụghị ihe akaebe
Ịchụ nta dabeere IOC
Ihe ngosi ọjọọ amaara
Dakọtara IOC na ndekọ
IOC na-eduhie ochie / ezighi ezi
TTP/ATT&CK dabere na ịchụ nta
Usoro (nọmba T)
Ịtụgharị usoro na ụkpụrụ ndekọ
Usoro ≠ otu ụkpụrụ
Ịchụ nta na-adịghị mma
Ngbanwe ọnụọgụgụ
Mee ka ihe dị n'ihu pụta ìhè
Contrarian ≠ okwukwe ọjọọ
Nyocha ugboro nchịkọta
"Gịnị bụ ihe na-adịghị ahụkebe?"
Ịchọta ihe omume na-adịghị ahụkebe
Obere ≠ dị ize ndụ
Obere ikpe atọ
Ikpe 1 - Ịchọta ihe na-adịghị ahụkebe. Onye dinta nwere ike ịjụ, "Kedu usoro dị na netwọkụ dị n'ime na-arụ na kọmputa kacha nta mana na-ewepụta njikọ netwọk kacha?" na-egosipụta echiche ya. AI na-egosipụta ụkpụrụ sitere na data njikọ usoro enweghị aha: usoro aha ya bụ svchost32.exe, nke a na-ahụ naanị na igwe 2, na-ejikọ na adreesị mpụga 340 dị iche iche. Onye dinta na-enyocha nke a; Ọ na-achọta malware nke na-eṅomi svchost.exe ziri ezi. AI kpochara obere; Onye dinta mere nyocha na ntinye aka.
Ikpe 2 - The dara (ma bara uru) ichu nta. Otu dinta jụrụ "enwere ike ịnwe nbudata data n'oge awa anaghị arụ ọrụ?" na-eme ka echiche ya guzosie ike; AI na-ede akwụkwọ ajụjụ dị mkpa. Nsonaazụ: Ndị ọrụ 3 ebudatara n'abalị, mana ha atọ bụ ndị ọrụ ụlọ ọrụ si mba ofesi na-arụ ọrụ n'oge awa azụmahịa n'ihi ọdịiche mpaghara oge. Agọnarị echiche ahụ. Onye dinta na-edekọ nke a dị ka "nsonaazụ ọjọọ" wee depụta ndị ọrụ 3 ndị a dị ka ewepụrụ maka ịchụ nta n'ọdịnihu. Ọbụna ịchụ nta ahụ na-eme nke ọma nyere anyị aka ịmata ụlọ ọrụ ahụ nke ọma.
Ikpe 3 - Ọnyà teknụzụ kpara akpa. Onye dinta na-ajụ AI "Kedu ka m ga-esi chọọ usoro T1055 na nzukọ m?" kwuru. AI na-ede ajụjụ na-ekwenye ekwenye na nkwupụta na "T1055 na-emepụta ID ihe omume na-esonụ"; mana ID ihe omume o nyere ezighi ezi na ihe nlereanya ahụ mebere teknụzụ ATT&CK. Avcı meghere ndekọ MITER ATT&CK, kwado nkọwa teknụzụ yana ezigbo ndekọ ndekọ, wee dozie ID mmemme na-ezighi ezi. Ihe nkuzi: Nyochaa nkọwa teknụzụ ọ bụla AI na-enye (NJ mmemme, T-nọmba, ubi log) site na isi mmalite.
Ngwa ngwa adịghị ike / Ike siri ike
Ngwa ngwa adịghị ike:
Chọpụta ma ọ dị onye na-awakpo na netwọk m.
Nkwupụta a enweghị nkwupụta, enweghị data, enweghị oke na enweghị ike igosipụta ya. AI na-emepụta ndepụta izugbe ma ọ bụ nke emebere; ọ baghị uru.
Mgbasa ozi siri ike:
Ọrụ gị: onye inyeaka na-enye echiche na nkọwapụta maka dinta egwu. Ekpebila, ekwula "enwere ihe iyi egwu". Echiche m: "Akaụntụ mebiri emebi nwere ike na-enyocha ọdụ ụgbọ mmiri dị n'ime n'oge awa anaghị ere ahịa." Mepụta ihe ndị a: (1) depụta akwụkwọ ndekọ nke ga-egosi na gbaghara echiche a, (2) kọwapụta ụkpụrụ a ga-enyocha (mpaghara, ihe ọnụ ụzọ), (3) dee ajụjụ ihe atụ wee kwupụta ahịrị nke ọ bụla, (4) dee nkọwa ndị na-emeghị ihe ọjọọ ga-ewepụ na nsonaazụ ya. Tụnye usoro MITER ATT&CK dị mkpa, mana kaa akara T-nọmba na NJ mmemme dị ka "[ga-enwerịrị nkwenye site na MITER]", emela ya.
Nkwupụta siri ike na-amalite site na nkwubi okwu siri ike, na-ewepụta nguzozi nke ihe akaebe/mgbaghara, akọwara ajụjụ a, wee hapụ nkọwa nka na nyocha.
Ndebiri ozugbo enwere ike iṅomi
TEMPLATEMỤMỤ ụlọ ọrụ m [otu: eg. Mepụta echiche ịchụ nta ihe iyi egwu na ọnọdụ nke [Akwụkwọ ndekọ aha / igwe ojii / njedebe njedebe]5. Maka echiche nke ọ bụla: (1) àgwà onye na-awakpo ọ na-elekwasị anya, (2) nke akwụkwọ ndekọ ga-enye ihe akaebe / nkwughachi, (3) ụkpụrụ a na-atụ anya ya. Mee ahịrịokwu ndị a na-anwale, ọ bụghị nke izugbe.
TECHNIQUE PATTERN PATTERN M ga-achọ usoro ọgụ ndị a na ụlọ ọrụ [teknik aha] m. Mepụta: (1) ngalaba ndekọ ebe usoro a na-ahapụ akara ya, (2) ụkpụrụ na ọnụ ụzọ ịchọ, (3) ọnọdụ ndị aka ha dị ọcha (ụgha) nwere ike ịkpalite ụkpụrụ a. Wepụta nọmba MITRE ATT&CK dị mkpa mana jiri ọkọlọtọ "[A ga-enyocharịrị site na MITER]"; enyela akara ngosi/nọmba mmemme emepụtara.
QUERY DRAFT TEMPLATE Dee mpempe ajụjụ [SIEM/KQL/SQL] nke na-achọ ụkpụrụ ndị a: [nkọwa ụkpụrụ].Kwuo ahịrị nke ọ bụla, kọwaa mpaghara nke ị na-enyocha na ihe kpatara ya, wee kaa akara n'ihe egwu arụmarụ. Aga m enyocha ajụjụ a wee mee ya; echela na ị ga-agba ya. Hapụ aha ubi akara "[nke dabara na schema]" dịka atụmatụ m maara siri dị.
Nsonaazụ ịchụ nta m nwetara ahịrị ndị a (a na-amaghị aha): [mado]. Kpọkọtanụ ha, ma maka otu nke ọ bụla dee (1) akụkọ ọjọọ, (2) opekata mpe nkọwa 2 na-emeghị ihe ọjọọ, na (3) ihe akaebe ọzọ ị ga-achọ ịmata ọdịiche dị. Ịme mkpebi; Ekwela ka m kewapụ gị. Kaa akara "[enweghị ndabere]" maka nkwupụta na-enweghị ihe akaebe ọ bụla.
Mmejọ ndị nkịtị
- Ịchụ nta na-enweghị hypotheses. Ịsị "chọta ihe" na-akpali AI ka ọ maa ma mebie; Ichu nta na-amalite site n'ahịrịokwu, nke a na-anwale.
- Imehie echiche maka ihe akaebe. Ichu nta na-anwale ike; Nchọpụta achọtara abụghị "ihe iyi egwu" ruo mgbe ejiri ihe akaebe doro anya kwadoro ya.
- Na-atụle ihe megidere ya na-akpaghị aka dị ka ihe ọjọọ. Ihe na-adịghị ahụkebe / onye na-apụ apụ na-abụkarị onye aka ya dị ọcha (nlekọta, ngwanrọ ọhụrụ, ọrụ otu oge); Gbanwee ya na okirikiri.
- Anaghị enyocha nkọwa teknụzụ. AI nwere ike dakọtara ID ihe omume, T-nọmba na ubi log; Kwenye na MITER ATT&CK na akwụkwọ ngwaahịa.
- Na-atụfu nwude efu. Ihe na-adịghị mma bụkwa ihe ọmụma: na-amata nzukọ ahụ nke ọma, na-ebelata ihe ndị na-ezighị ezi n'ọdịnihu; akwụkwọ.
NDỤMỌDỤ: Ezi echiche ịchụ nta iyi egwu kwesịrị ịbụ “ihe a na-anwale”: nkwupụta siri ike nke nwere ike ịpụta bụrụ eziokwu ma ọ bụ ụgha. "Ọ nwere ihe ọjọọ na netwọk m?" enweghị ike ịnwale; "Akaụntụ X ọ jikọọ na ihe karịrị IP dị n'ime 50 n'oge awa anaghị azụ ahịa?" enwere ike ịnwale.
Nlebara anya: A na-eme ịchụ nta egwu naanị na sistemụ enyere gị ikike ime. Ịrịọ AI ka ọ "nyochaa" nzukọ ọzọ, mmadụ, ma ọ bụ netwọk nke ị na-enweghị ikike bụ mgbalị iji nweta ohere na-enweghị ikike na ọ dị na mpụga modul a.
Na nchịkọta
Ịchụ nta iyi egwu na-achọsi ike ịchọta ihe onye na-awakpo zoro ezo na-echeghị mkpu, ọ na-amalite site na nkwupụta, ọ bụghị mkpu. AI na-enye onyinye abụọ dị ike na usoro a: ịmepụta echiche ndị a na-anwale na ajụjụ ajụjụ, na nzacha akara ngosi na-adịghị ahụkebe / nke dịpụrụ adịpụ site na nnukwu data. Ma AI amaghị ihe na-emekarị maka nzukọ gị, ọ nwere ike ịmepụta nkọwa ọrụ aka ma daba n'ọnyà nke na-ezighị ezi echiche maka ihe akaebe. Ya mere ichu nta nwere nzọụkwụ isii (echiche, data, ajụjụ, wepụ, nyochaa, akwụkwọ) na nzọụkwụ ọ bụla mkpebi dịịrị dinta. Contrarian ≠ ọjọọ, hypothesis ≠ akaebe, nkọwa nka nke AI nyere ≠ ziri ezi; niile kwadoro site na raw proof na MITER ATT&CK.
Ọrụ ngwa
Nweta echiche ịchụ nta egwu 5 sitere na AI site na iji ndebiri “Hypothesis Generation” maka nzukọ nke gị (ma ọ bụ gburugburu ebe nlele). Họrọ nke kacha anwale, were ndebiri “Pattern Technique” na “Query Draft” depụta ajụjụ, kwadoo ahịrị ọ bụla na ajụjụ a yana T-nọmba ọ bụla atụpụtara na MITER ATT&CK. Dee ihe ga-esi na ya pụta (bụ n'echiche a kwadoro, gbaghaara, gịnị ka ị mụtara) n'ime obere akwụkwọ ịchụ nta.
ndetu
- [ ] Eji m nkwubi okwu siri ike malite ịchụ nta m.
- [ ] Achọpụtala m isi mmalite ndekọ nke ga-egosipụta ma gọnarị echiche ahụ.
- [ ] Atụlere m ahịrị ọ bụla nke akwụkwọ ajụjụ wee megharịa ya ka ọ dabara na atụmatụ nke m.
- [ ] Eji m ebe isi mmalite nyochaa usoro MITER ATT&CK na ihe omume a chọrọ.
- [] Eji m ihe akaebe na ihe ndị gbara ya gburugburu kwadoro mgbaama ọ bụla; Anaghị m ewere ihe megidere ya ozugbo dị ka ihe ọjọọ.
- [] Edekwara m echiche nke dara (nsonaazụ ọjọọ bụ ozi).
- [ ] A na m achụ nta naanị na sistemụ enyere m ikike ịchụ nta.