Uru:
- Ikike ịghọta na ọgụgụ isi na-achịkọta ogologo akụkọ iyi egwu na ọkwa atọ (atụmatụ, atụmatụ, teknụzụ) wee depụta ha na MITER ATT & CK site na iwepu IOC na TTP.
- Ikike iji nyochaa IOC nke ọ bụla site na isi iyi dị ugbu a na nke abụọ, usoro ọ bụla na ATT & CK wee wepụta IOC / teknụzụ / otu arụpụtara.
- Ikike ịghọta na njirimara otu bụ ihe kacha dị ize ndụ, na a ga-eji asụsụ 'dakọtara na usoro' kama 'otu kpọmkwem' yana na nchekwa kwesịrị ịdabere na mkpebi TTP na-adịgide adịgide.
Otu nchekwa naanị ọ bụghị naanị ọgụ ọgụ ọ na-ahụ; na-amụta site n'ịkekọrịta ihe ọmụma banyere ọgụ gburugburu ụwa. Ọgụgụ isi iyi egwu (TI dị mkpụmkpụ) bụ ozi anakọtara, hazie ma tụgharịa ka ọ bụrụ omume gbasara ndị mwakpo, ngwa ọrụ ha na-eji, ebumnuche ha na ụzọ ha. "Kedu malware na-agbasa ugbu a?", "Kedu ngalaba nke ndị na-awakpo a na-ezubere iche, oleekwa otu o si eme ya?", "Ahụla adreesị IP a na mbuso agha mbụ?" Azịza nke ajụjụ ndị dị ka ndị a sitere na ọgụgụ isi iyi egwu.
Nsogbu bụ na ọgụgụ isi iyi egwu dị ukwuu ma gbasasịa: akụkọ, blọọgụ, ndepụta nri, nnọkọ, puku kwuru puku IOC. AI dị ike n'ịghọta nchịkọta a: ọ na-achịkọta akụkọ ogologo oge egwu, wepụta IOC na TTP ahaziri site na akụkọ banyere mwakpo, maapụ ha na usoro MITER ATT&CK, wee jụọ "nke a ọ gbasara anyị?" na-akwadebe edemede mbụ nke ajụjụ ahụ. Mana AI nwere ike imehie ọgụgụ isi ochie, nke na-ezighi ezi, ma ọ bụ nke na-enweghị isi dị ka eziokwu, mebere otu iyi egwu na-adịghị adị ma ọ bụ IOC, ma amaghị ma ọgụgụ isi bara uru maka nzukọ gị n'ezie. AI na-achịkọta, nhazi na ọgụgụ isi maapụ; Ọ dịịrị onye nyocha ahụ igbochi IOC, tinye ọgụgụ isi n'ụlọ ọrụ ahụ, wee kwupụta akụkọ “nwere ike ime ya.”
Layers nke ọgụgụ isi iyi egwu
A na-atụle ọgụgụ isi iyi egwu na ọkwa atọ:
- Nka na ụzụ/ọrụ (ọkwa IOC): Ngosipụta ihe - IP ọjọọ, ngalaba, hashes, URL. Ọ dị mkpụmkpụ (onye na-awakpo mgbanwe IP). AI na-adị ngwa iwepụta ihe ndị a na akụkọ ma hazie ha.
- Tactical (TTP larịị): Otu onye na-awakpo si akpa àgwà - kedu usoro, ngwaọrụ, ụzọ ọ na-eji. Ọ na-adịgide adịgide (omume siri ike ịgbanwe). MITER ATT&CK bụ asụsụ a na-asụ n'ọkwa a.
- Strategic: Onye na-ezubere iche, ihe kpatara ya, kedu ngalaba, nwere ọchịchọ. Ọ na-azụ mkpebi nchịkwa. AI na-achịkọta ogologo akụkọ na ọkwa a.
Usoro: IOC (Ngosipụta nke nkwekọrịta - egosi mmebi iwu, akara teknụzụ kọmpụta). TTP (Usoro, Usoro, Usoro - ụkpụrụ omume). MITER ATT&CK, ọnụọgụgụ, ọbá akwụkwọ nke usoro mwakpo (dịka T1566 "Phishing"). APT (Egwu na-adịgide adịgide - nke dị elu, na-adịgide adịgide, otu ndị mwakpo steeti na-akwadokarị). Nri, iyi IOC emelitere na-akpaghị aka. Mmegide, na-ekwu na mwakpo sitere na otu na-ezighi ezi; Ọ bụ mmejọ ọgụgụ isi na-emekarị.
chaatị nyocha isi mmalite ọgụgụ isi
akara
ajụjụ ịjụ
Gịnị mere o ji dị mkpa?
Ugbu a
Kedu mgbe e bipụtara ya? Ọ ka dị irè?
Ndị IOC na-aghọ ihe anaghịzi adị ngwa ngwa
ntụkwasị obi isi mmalite
Onye bipụtara ya, gịnị bụ aha ya?
Ọtụtụ ọgụgụ isi ụgha / arụpụtara
Mkpa
Ọ na-elekwasị anya anyị/ụlọ ọrụ anyị?
Ọ bụghị ihe iyi egwu ọ bụla bụ ihe iyi egwu gị
Nkwenye
Ebe nke abụọ ọ na-akwado nke a?
Otu isi iyi ezughi oke
Nrụ ọrụ
Kedu ihe m ga - eme (mgbochi, egwu, kpọọ)
Ọmụma ga-agbanyerịrị n'omume
Ntụtu aka ziri ezi
Kedu ka njirimara otu siri sie ike?
Mkpebi na-eduhie eduhie
Obere ikpe atọ
Ikpe 1 - Site na akụkọ peeji 40 ruo n'omume. Onye nyocha nwere AI chịkọta akụkọ iyi egwu nwere peeji 40 gbasara mkpọsa mgbapụta ọhụrụ. AI na-ebelata akụkọ ahụ na ibe 1, wepụ 32 IOC (IP, hash, domain) na usoro 7 MITER ATT & CK, ma kwuo "otu a na-elekwasị anya na ụlọ ọrụ gị." Onye nyocha na-enyocha nke ọ bụla n'ime IOC na isi iyi nke abụọ, gbakwunye 21 ka dị na ndepụta nlele, na-akwado ọnụọgụ ATT&CK nke usoro ahụ, wee mepụta ya ka ọ bụrụ echiche ịchụ nta egwu. The AI mere peeji 40 hazie; nkwenye na ime ihe bụ nke ndị nyocha.
Ikpe 2 - Otu APT emebere. Otu onye nyocha jụrụ AI "Olee otu mere mwakpo a?" ọ jụrụ. AI ji obi ike zaa: "Nke a bụ usoro ama ama nke otu 'APT-Dark Eagle'." Onye nyocha ahụ na-achọ otu a na isi mmalite ọgụgụ isi iyi egwu - enweghị otu dị otú ahụ, ihe nlereanya ahụ mebere aha ahụ. Ọ bụrụ na o kwenyeghị ya, akụkọ ahụ gaara enwe njirimara na-ezighi ezi. Ihe nkuzi: njirimara otu bụ ihe kachasị mfe na nke dị ize ndụ ikwu; A na-enyocha ya mgbe niile site na isi iyi ama ama, a na-akpọkarị ya "dakọtara na usoro ndị a" kama "njirimara kpọmkwem".
Ikpe 3 - igbochi ụgha na IOC ochie. Otu otu jụrụ AI "ọ bụ na anyị agaghị egbochi" ndepụta IP ọ nwetara site na mkpesa ọnwa ole na ole gara aga? ọ jụrụ; AI na-ekwu "ee, ha dị obi ọjọọ." Mana onye nyocha ahụ na-ahụ na otu n'ime IP ugbu a bụ nke onye na-eweta igwe ojii ziri ezi (CDN); Mgbochi IP ahụ ga-ebipụkwa ọrụ ziri ezi nke nzukọ a na-enweta. IOC dị mkpụmkpụ. Onye nyocha ahụ na-enyocha ịdị ugbu a ma kpochapụ ndị ochie. Ihe nkuzi: Ọ naghị aga na listi mgbochi ruo mgbe IOC gosipụtara na ọ dị ugbu a.
Ngwa ngwa adịghị ike / Ike siri ike
Ngwa ngwa adịghị ike:
Kedu onye wakporo na nke IP m kwesịrị igbochi? [akụkọ]
Arịrịọ a na-arịọ maka njirimara ziri ezi na mkpebi mgbochi kpọmkwem site na AI, ọ naghị arịọ maka oge na nkwenye, ọ na-emeghe maka imepụta ihe. AI nwere ike inye nkọwa doro anya mana ezighi ezi yana ndepụta IOC emechiela.
Mgbasa ozi siri ike:
Ọrụ gị: onye enyemaka onye nyocha na-akwadebe ọgụgụ isi iyi egwu SUMMARY na CONFIGURATION. Ịme mkpebi; Asịla "ngbochi", emela ntụaka otu kpọmkwem. Hazie akụkọ ndị a: (1) wepụta nchịkọta peeji 1 (onye, gịnị, ebumnuche, usoro), (2) ndepụta ahaziri nke IOC (IP, ngalaba, hash, URL); akara "[ugbu a na nke abụọ a ga-enyocharịrị]" maka nke ọ bụla; tinye dummy IOC, (3) maapụ TTP na MITER ATT&CK mana kaa akara T-nọmba ọ bụla "[kwenye na ATT&CK]", (4) ekwula "ezigbo otu" maka njirimara; Jiri asụsụ a "dakọtara na usoro ndị a" wee kwupụta ike nke ihe akaebe, (5) dee ajụjụ maka ihe kpatara ọgụgụ isi a nwere ike isi tinye aka na ụlọ ọrụ / ihe owuwu anyị. Akuko: [mado]
Mkpesa siri ike na-arịọ maka nchịkọta + nhazi, hapụ IOC/TTP ọ bụla ka ọ nyochaa, machibido njirimara ziri ezi, ajụjụ mkpa.
Ndebiri ozugbo enwere ike iṅomi
NKWAKWA TEMPLATEMKWUO KWESỊRỊ akụkọ egwu egwu na-esote na ọkwa 3: (1) atụmatụ (onye, ihe kpatara, ngalaba ebumnuche), (2) atụmatụ (TTP eji), (3) teknụzụ (ụdị IOC) .Agafela ibe 1. Agụnyena nkwupụta ọ bụla nke ị na-ewepụghị na akụkọ ahụ; fabrication.Akụkọ: [paste]
IOC EXTRACTION TEMPLATE Extracts a haziri IOC site na ederede na-esote: ụdị (IP/ngalaba/hash/URL/email),uru, okirikiri. Were naanị ihe ekwuru n'ụzọ doro anya na ederede; dabara adaba. Lelee "[nke dị ugbu a + ga-enwerịrị nkwenye]" maka IOC ọ bụla. Nyochaa n'ụdị tabular. Ederede: [paste]
ATT&CK MATCHING TEMPLATEMap omume ndị dị na akụkọ mwakpo ahụ na usoro na usoro MITER ATT&CK. Maka nkewa ọ bụla: ngụ omume + aha usoro atụpụtara +"[T-nọmba ga-enwerịrị nkwenye na ATT&CK]". enyela usoro/nọmba mebere; ọ bụrụ na ịmaghị n'aka, dee "[unclear]". Nkọwa: [paste]
Ntụle mkpado Nyere m aka inyocha ma ọgụgụ isi iyi egwu na-esote ọ dị na nzukọ anyị: wepụta ajụjụ nke akụ anyị dabara na teknụzụ/ụlọ ọrụ ebumnuche. Ịme mkpebi; Nye m ndetu. Nchịkọta ọgụgụ isi: [paste]
Mmejọ ndị nkịtị
- Ime njiri mara otu. Njirimara bụ mpaghara kacha sie ike na nke a na-aghọtahiekarị; Kama "kpọmkwem otu ahụ", kwuo "dakọtara na usoro ndị a" wee kwenye na isi mmalite.
- Na-egbochi IOC na-enyochaghị ego. IOC dị mkpụmkpụ; IP ochie nwere ike ịbụ nke ọrụ ziri ezi, buru ụzọ lelee ịdị ọhụrụ.
- Ịtụkwasị obi otu isi iyi. Kwado ọgụgụ isi site na isi iyi nke abụọ nwere onwe; Enwere ọtụtụ ọgụgụ isi ụgha / arụpụtara.
- Ọ bụghị na-agbagha mkpa. Ọ bụghị ihe iyi egwu ọ bụla bụ ihe iyi egwu gị; Lelee ụlọ ọrụ, teknụzụ na ihe owuwu ụlọ.
- Mepụta IOC/technique/otu na-eche na ọ bụ eziokwu. AI nwere ike imegharị ha nke ọma; nyochaa nke ọ bụla na ebe ama ama MITER ATT&CK.
NDỤMỌDỤ: Ụdị ọgụgụ isi iyi egwu kachasị na-adịgide adịgide na bara uru bụ TTP, ọ bụghị IOC. Onye na-awakpo ahụ na-agbanwe IP ya n'otu ụbọchị, mana ọ na-esiri ike ịgbanwe ụkpụrụ omume ya (TTP). Wulite nchekwa gị na nchọpụta TTP, ọ bụghị igbochi IOC.
Ịkpachara anya: Itinye IOC na listi mgbochi nwekwara ike igbochi okporo ụzọ ziri ezi (mgbochi ụgha). Ịtụ aka n'ìgwè na-emefusị ihe onwunwe n'ụzọ na-ezighị ezi. ọgụgụ isi bụ ntinye; Mkpebi mgbochi na njirimara dị n'aka onye nyocha mgbe nkwenye gasịrị.
Na nchịkọta
Ọgụgụ isi egwu na-enyere nzukọ ahụ aka ịlụ ọgụ ọ bụghị naanị ya kama site na ahụmịhe nke ụwa; ma n'ihi na ọ dị ọtụtụ, adịghị mma, na mgbanwe, ọ chọrọ nkọwa. AI na-achịkọta ogologo akụkọ na ọkwa atọ (atụmatụ, atụmatụ, teknụzụ), wepụ IOC na TTP, maapụ MITER ATT&CK ma na-enye nkọwapụta mkpa. Ihe egwu kachasị ukwuu: IOC/teknụzụ/otu mebere, njiri mara ụgha mana IOC anaghịzi adị. Ọ bụ ya mere na IOC ọ bụla kwadoro na ugbu a na isi iyi nke abụọ, a na-enyocha usoro ọ bụla na ATT & CK; A na-eme ntụaka ahụ n'asụsụ "dakọtara na usoro" ọ bụghị "otu nke doro anya"; na mkpebi igbochi/mmanye bụ nke onye nyocha. Obi nchekwa bụ nchọpụta TTP na-adịgide adịgide, ọ bụghị IOC dị mkpụmkpụ.
Ọrụ ngwa
Nweta mkpesa ihe iyi egwu ọha. Wepụta nchịkọta na ndepụta ahaziri nke IOC na AI na ndebiri "Nchịkọta akụkọ" na "IOC Extraction". Lelee ego na izi ezi nke 5 nke IOC na ebe ama ama; Gbalịa ịchọta opekata mpe otu IOC emechiela ma ọ bụ nke a na-enyo enyo. Nyochaa ọnụọgụ T-nọmba nke usoro ewepụtara na ndebiri “ATT&CK Matching” na saịtị MITER ATT&CK wee jide nọmba adịgboroja/ụgha ma ọ bụrụ na ọ dị.
ndetu
- [] Achịkọtara m akụkọ ahụ na ọkwa atọ (usoro, atụmatụ, teknụzụ).
- [] Eji m ego na isi iyi nke abụọ nweere onwe ya nyochaa IOC ọ bụla.
- [ ] Achọpụtala m usoro / aghụghọ MITER ATT&CK ọ bụla na isi mmalite gọọmentị.
- [ ] Agwala m akwụkwọ ntụaka otu n'asụsụ nke "dakọtara na usoro" kama "kpọmkwem".
- [ ] Ajụrụ m ajụjụ mkpa ọgụgụ isi maka ụlọ ọrụ m (ngalaba, teknụzụ, ụkpụrụ ụlọ).
- [ ] A enyochala m eziokwu ọ bụla, ebe m maara na ọ nwere ike mebere IOC/technique/group.
- [] Emere m mkpebi igbochi na mejuputa dị ka onye nyocha mgbe nkwenye gasịrị.