Hagnaður:
- Geta til að staðla margar tímastimplaheimildir í eina tilvísun (UTC) og merkja frávik og eyður á ofurtímalínunni með gervigreind
- Hæfni til að greina á milli fylgni og orsakasamhengis og sannreyna frásögnina sem gervigreind hefur komið á með því að tengja hvern atburð við uppruna sinn
- Geta til að bera kennsl á áhættu eins og tímatöppun, klukkurek og loggap og staðfesta þær með mörgum heimildum
Það er aðeins eitt sem segir þér hvenær, hvernig og í hvaða röð netatburður gerist í raun og veru: tíminn. Þegar árásarmaður fór inn í kerfið, hvaða skrá hann snerti og hvenær, þegar hann fór í gegnum gögn — allt er þetta geymt í mismunandi annálum (upptökuskrár þar sem kerfið skráir atburði) og mismunandi tímastimplum (tímastimpill — skrá yfir dagsetningu og tíma þegar atburður átti sér stað). Tímalínugreining raðar þessum dreifðu tímastimplum í eina tímaröð frásögn og spyr „hvað gerðist? Það er listin að svara spurningunni. Í þessari einingu munum við sjá hvernig gervigreind veitir mikinn hraða við að skipuleggja þessi sóðalegu gögn og hvar þau geta villt þig fyrir.
Fjöldi og gildrur tímastimpla
Jafnvel ein skrá hefur marga tímastimpla. Til dæmis hefur skráarkerfi MACB stimpla: Breytt, Aðgengilegt, Breytt, Born. Að auki eru til atburðaskrár stýrikerfis (Windows Event Log), vefþjónaskrár, eldveggsskrár, forritaskrár og skrásetning (Windows skrásetning - stigveldisgagnagrunnur þar sem kerfis- og forritastillingar eru geymdar) skrár.
Stærsta pytturinn er tímabelti og tímarek. Annar annálinn skráir UTC (samhæfðan alheimstíma), hinn staðbundinn tíma; klukka kerfis gæti verið rangt stillt; Árásarmaðurinn kann að hafa vísvitandi hagrætt tímastimplum (tímastimpla – skopstimplar skráar). Þannig að áður en tímalína er komið á þarf að ákvarða tímabelti og nákvæmni klukku hvers uppruna, allt staðlað til sameiginlegrar viðmiðunar (venjulega UTC).
Varúð: Það eru klassísk mistök að setja tvo stokka hlið við hlið á mismunandi tímabilum og segja "það gerðist á sama tíma". Umbreyttu öllum tímastimplum í eina tilvísun áður en þú tengir; Annars er orsök-áhrif sambandið sem AI (og þú) stofnar til rotið frá upphafi.
Frábær tímalína og gervigreind
Í tölvuréttarfræði er uppbyggingin sem sameinar allar þessar heimildir kallað ofur tímalína; Það er oft búið til með verkfærum eins og Plaso/log2timeline og getur verið tugþúsundir eða jafnvel milljónir raða. Þetta er þar sem gervigreind kemur inn: að merkja þýðingarmikil mynstur og frávik á þessu risastóra korti.
Örugg framlög gervigreindar:
- Fráviksflöggun: Aðgangur utan vinnutíma, skyndileg aukning forréttinda, óvenjuleg ferlikeðja, margar misheppnaðar innskráningar á stuttu millibili.
- Atburðaþyrping: Að flokka atburði sem einbeita sér í sama tímaglugga og merkja þá sem "eitthvað gerðist hér."
- Frásögn: Að þýða staðfesta atburði yfir á látlausa tímaröð (fyrstu drög að skýrslunni).
- Gap uppgötvun: "Það eru engir annálar á þessu 40 mínútna millibili - gæti þeim hafa verið eytt?" Að spyrja um annmarka eins og.
Í hverjum myndar gervigreind tilgátur; Þú sannar orsakasamhengi og sönnunargildi.
Ábending: Þegar þú gefur gervigreindinni tímalínuna skaltu fyrst segja henni skýrt frá tímabelti og sniði: "Allir tímastimpillar eru á UTC, ISO 8601 sniði." Staðlaðu blandað snið fyrst; Að láta gervigreindina giska á sniðið er boð um villu.
Fylgni er ekki orsakasamband
Hættulegasta rökvillan í tímagreiningu er að halda að röð sé orsök og afleiðing. „USB var sett í 22:10, skrá var afrituð klukkan 22:12“ tveir atburðir geta átt sér stað í röð, en þeir sanna ekki að sami aðili hafi gert það í sama tilgangi; Það gæti verið önnur skýring. Þó að gervigreindin byggi upp reiprennandi frásögn, sér það ekki þetta bil og getur framleitt nákvæma setningu eins og „Gögnum var stolið með USB. Starf sérfræðingsins er að útrýma öðrum skýringum og styðja hvert skref með óháðum sönnunargögnum.
þrjú smámál
Tilfelli 1 — Klukkurek veiddur. Í einu tilviki litu vefþjónsskráin og eldveggsskráin öðruvísi út í 3 klukkustundir. Í fyrstu drögunum taldi gervigreind þessar „tvær aðskildar árásir“ vera. Sérfræðingur komst að því að tímabelti þjónsins var rangt stillt; Þegar staðlað er, passa loggarnir tveir inn í einn atburð. 3 klukkutíma "fantómamunurinn" er horfinn.
Mál 2 - Bil leiddi í ljós eyðingu. Í 1,1 milljón línu ofur tímalínunni flaggaði gervigreind að það væru engin gögn á milli 02:30-03:10. Sérfræðingur skoðaði: Í þessum glugga voru öryggisskrárnar vísvitandi hreinsaðar (log wiping). Tómið sjálft varð ein sterkasta sönnunin fyrir árásinni.
Tilfelli 3 - Ofskynjanir búa til atburði. Þegar hann gerði samantekt sagði YZ: "Stjórnendareikningur var stofnaður klukkan 03:45." Sérfræðingurinn skoðaði upprunann: það var ekkert slíkt viðburðaauðkenni - númerið í Windows logs sem gefur til kynna tegund atburðar; Gervigreindin sameinaði tvær mismunandi línur og framleiddi atburð sem var ekki til. Tengingarskrefið við upprunann kom í veg fyrir ranga frásögn.
Fjögur afritanleg sniðmát
1) Tímaáætlun:
Hlutverk þitt: réttar tímalínusérfræðingur. Ég mun gefa þér tímastimpla frá mismunandi aðilum (snið og tímabil geta verið mismunandi). Ákvarðu fyrst snið og tímabelti hverrar heimildar, komdu síðan með áætlun um að breyta þeim öllum í UTC / ISO 8601. Merktu tímabeltið sem þú ert ekki viss um sem "þarfnast staðfestingar".
2) Fráviksmerking:
Samhengi: framtaksþjónn, venjulegur vinnutími 08:00-18:00 (UTC+3). Ég mun gefa þér staðlaða viðburðalistann. Byggt aðeins á gögnum sem í raun og veru birtast á listanum, flaggaðu eftirfarandi: Aðgangur utan vinnutíma, aukningu forréttinda, endurtekið misheppnuð innskráning, óvenjuleg ferlikeðja. Fyrir hvert merki, vitna í viðeigandi línu. Bætir við túlkun/orsakatengslum; Ég mun meta það.
3) Frásögn (fyrir skýrsluna):
Hér að neðan eru atburðir sem ég sannreyndi (hver með uppruna sínum). Breyttu þeim í einfalda, tímaröð frásögn. Notaðu aðeins atburðina sem ég gef; að bæta við nýjum atburði, spá eða orsakasamhengi. Skrifaðu óljós tengsl á tungumáli sem einkennir þau sem „möguleg“.
4) Skönnun á bilum og ósamræmi:
Í þessari eðlilegu tímalínu: (1) merktu tímabil sem búist er við en virðist vanta, (2) færslur sem eru ekki í lagi (framtíð til fortíðar), (3) toppar sem birtast hópur/sjálfkrafa. Sýndu hvert með samsvarandi línubili. Bentu á að þetta gætu verið merki um eyðingu/meðhöndlun en eru ekki sönnun.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Taktu saman þessar skrár og útskýrðu hvað gerðist.
Engar takmarkanir á tímaramma, uppruna eða „aðeins raunverulegri upptöku“; AI getur smíðað reiprennandi en uppspuni sögu.
Öflug tilvitnun:
Hlutverk þitt: réttarfræðingur. Heimild: 3 annálar (Windows Öryggi, Apache aðgangur, eldveggur), allir staðlaðar í UTC, ISO 8601. Verkefni: skrá atburði í tímaröð frá 14. mars 21:00-23:00 eingöngu miðað við gefnar línur; vitna í hverja línu með uppruna og viðburðakenni/kóða. Koma á fylgni, fullyrða um orsakasamhengi; Ég mun gera athugasemdir. Merktu millibilin sem þú sérð sem vanta eða óvenjuleg sérstaklega.
Uppruni, staðlað tilvísun, „aðeins gefin röð“ og „koma á orsakasamhengi“ takmarkanir gera úttakið forsvaranlegt.
Tafla yfir tímastimplaheimildir
Heimild
Dæmi um tímastimpil
Athygli
Skráarkerfi (MACB)
Breyta/fá aðgang að/búa til
Opið fyrir tímatöku
Windows atburðaskrá
Innskráning, ferli, þjónustuviðburðir
Staðfestu auðkenni viðburðar
vefþjónsskrá
óska eftir tíma
tímabeltisskoðun
eldvegg/net
tenging, höfnun
Klukkusamstilling (NTP)
Þjóðskrá
Síðasti rittími
Athugasemd krefst sérfræðiþekkingar
App/vafri
saga, skyndiminni
gæti verið að staðartíma
Algeng mistök
- Að koma á fylgni án þess að staðla tímabilið. Mismunandi sneiðar skapa falska "samhliða".
- Að misskilja fylgni fyrir orsakasamhengi. Atburðir í röð þýða ekki sama geranda/tilgang.
- Algjört traust á tímastimpli. Tímastopp og rangur tími er mögulegur; Staðfestu með mörgum heimildum.
- Ekki staðfesta atburðinn að gervigreindin hafi sett saman. Sameining tveggja lína getur valdið atburði sem ekki er til.
- Hunsa eyðurnar. Loginn sem vantar er oft mikilvægasta sönnunin.
Í stuttu máli
Tímalínugreining er sú athöfn að setja saman dreifða tímastimpla í eina sannanlega tímaröð. Gervigreind veitir mikinn hraða við fráviksflöggun, þyrping, bilgreiningu og frásagnaruppkast yfir milljón lína ofurtímalínur. En eðlileg tímabil, aðgreining á fylgni og orsakasamhengi og eign hvers atburðar til upprunans tilheyra mönnum. AI býr til tilgátur; Þú ert sá sem ver tímaröðina fyrir dómstólum.
Umsóknarverkefni
Útbúið sýnishorn af viðburðalista með 15-20 línum á mismunandi sniði og tímabelti (innifalið viljandi tímavakt og bil). Breyttu þeim öllum fyrst í UTC með "Time normalization plan" sniðmátinu. Notaðu síðan „Fráviksmerking“ og „Gap scan“ sniðmát og staðfestu klukkuna og bilið sem skráð er af gervigreindinni við upprunann.
gátlisti
- [ ] Ég staðlaði alla tímastimpla í eina tilvísun (UTC).
- [ ] Ég tengdi hvern atburð við uppruna sinn (skrá/Auðkenni viðburðar/lína).
- [ ] Ég gerði greinarmun á fylgni og orsakasambandi; Ég íhugaði aðrar skýringar.
- [ ] Ég merkti eyður í annálum og óvenjulegar skrár.
- [ ] Ég staðfesti atburðina sem gervigreindin sameinaði/dró saman í upprunalegu upptökunni.