Hagnaður:
- Að geta greint hvar gervigreind sparar tíma í varnaröryggisvinnuflæðinu (uppgötvun, greining, íhlutun, umbætur, skýrslugerð) og hvar öryggis mikilvægar ákvarðanir (árásaryfirlýsing, einangrun, lokun, opinber skýrsla) eru skilin eftir sérfræðingnum, allt eftir áhættustigi verkefnisins.
- Geta til að beita þeirri aga að tengja hverja gervigreind úttak við óunnin sönnunargögn (log, IOC, CVE, kóða), athuga það sjálfstætt og fara í gegnum samhengissíun
- Geta til að nafngreina annála- og öryggisgögn innan umfangs KVKK/persónuverndar og til að venjast því að nota aðeins viðurkenndan, varnar tilgang og með skriflegu leyfi.
Í öryggisaðgerðamiðstöð (SOC á ensku - Security Operations Center; teymið sem fylgist með neti, netþjónum og notendum stofnunarinnar allan sólarhringinn) streyma þúsundir atburðaskráa á hverri sekúndu. Starfsmaður tengdur netþjóni í Rússlandi klukkan 3:14: er þetta árás eða viðskiptaferð til útlanda? Einn notandi dulkóðaði 4.000 skrár á fimm mínútum: er þetta lausnarhugbúnaður eða öryggisafrit? Tölvupóstur segir „Reikningur meðfylgjandi“: er þetta raunverulegur bókhaldspóstur eða vefveiðar? Í endurskoðun kóða, tengir SQL fyrirspurn beint inntak notenda: er þetta veikleiki sem hægt er að nýta eða öruggt handrit sem keyrir á innra netinu? Margar af þessum spurningum eru endurteknar og þreytandi; Sum þeirra eru ákvarðanir sem geta beint leitt til gagnabrots, milljóna líra tjóns eða orðspors stofnunar.
Gervigreind (AI, eða AI í stuttu máli—tölvukerfi sem geta skannað, dregið saman, flokkað, merkt frávik og framleitt drög að miklu magni af texta og mynstrum) passar rétt í miðri mynd. Þegar það er notað á réttan hátt tekur það saman þúsundir lína af annálum á nokkrum sekúndum, forgangsraðar hópi veikleika, greinir vefveiðarpóst á nokkrum sekúndum í stað mínútum og gefur þér tíma til að hugsa. Þegar það er notað á rangan hátt getur það hunsað raunverulega árás með því að merkja hana sem „eðlilega“, ranglega vekja teymið viðvörun með því að búa til ógn sem er ekki til eða lekið trúnaðargögnum utan fyrirtækisins.
Tilgangur þessarar einingar er ekki kynning á ökutækjum. Markmiðið er að skýra hvar eigi að setja gervigreind í starfi öryggissérfræðings og hvar eigi að setja það yfirleitt. Við skulum ítreka grundvallarregluna frá upphafi: Gervigreind er aðstoðarmaður, ekki ákvörðunarvald í stað öryggissérfræðingsins. Það er undir hæfum sérfræðingi komið að lýsa atviki sem raunverulegri árás, einangra kerfi, loka fyrir notanda og breyta niðurstöðu í opinbera skýrslu. Óstaðfest gervigreind framleiðsla er ósönnuð fullyrðing. Og rauðasta línan í þessari einingu: Allt sem er útskýrt hér er í varnarskyni (varnarskyni). Notkun gervigreindar til að síast inn í kerfi án leyfis, búa til árásarverkfæri eða framkvæma óviðkomandi prófun er bæði ólöglegt og utan gildissviðs þessarar einingar.
Öryggisvinnuflæði og staður gervigreindar
Til að skilja viðskipti varnaröryggis er gagnlegt að skipta ferlinu í fimm stig. Uppgötvun: Að fanga grunsamlega hegðun úr log- og SIEM gögnum. Greining/triage: meta og forgangsraða hvort viðvörun er raunveruleg eða röng (falsk jákvæð). Viðbrögð: innilokun atburðarins, einangrun, þrif. Úrbætur: Að loka varnarleysinu, útrýma rótinni. Skýrslugerð: þýðing á niðurstöðunni í tæknileg og stjórnunarleg skjöl. AI getur snert öll fimm stig, en ekki hvert með sömu heimild.
Við skulum skilgreina nokkur hugtök frá upphafi. SIEM (Security Information and Event Management) er kerfi sem safnar og tengir skráningarskrár frá mismunandi aðilum (miðlara, eldvegg, forriti) og býr til viðvörun sem byggir á reglum. Falskt jákvætt er þegar atburður sem er í raun ekki ógn gefur viðvörun; Það er sársauki sem þreytir SOC liðin og leiðir til „viðvörunarþreytu“. Falsk neikvæð er þegar raunveruleg árás er aldrei gripin; Það eru hættulegustu mistökin vegna þess að þau valda skaða í hljóði. IOC (Indicator of Compromise) er tæknileg ummerki sem sýnir ummerki árásar: skaðlegt IP-tala, skráarhash (hash), lén. TTP (Tactic, Techniques, Procedures) er hegðunarmynstur sem lýsir því hvernig árásarmaðurinn hegðar sér.
Eftirfarandi tafla tekur saman hlutverk og áhættustig gervigreindar eftir verkefnum:
Leit
Hlutverk gervigreindar
Áhættustig
Hver samþykkir
Samantekt logs, hávaðaminnkun
eldsneytisgjöf, summator
lágt
sérfræðingur
Forgangsröðun varnarleysis
Raðari, uppástunga
Lágt-miðlungs
sérfræðingur
Greining á vefveiðum í tölvupósti
Forval, skýring
miðlungs
sérfræðingur
Viðvörun triage (satt/ósatt)
Tillaga framleiðir rökstuðning
Miðlungs-Hátt
Sérfræðingur (enn rétt)
Drög að leikbók um atvikssvörun
skissu rafall
Miðlungs-Hátt
Senior sérfræðingur / IR leiðtogi
Örugg uppgötvun kóða
Annað auga, bendill
Miðlungs-Hátt
Hönnuður + öryggi
Kerfis einangrun / lokunar ákvörðun
ekki gagnlegt
mjög hátt
viðurkenndur sérfræðingur
Opinber atviksskýrsla/tilkynning
Drög, sérfræðingur leiðréttir
mjög hátt
IR leiðtogi + löglegt/fylgni
Hafðu í huga eina línu í þessari mynd: eftir því sem áhættan eykst minnkar hlutverk gervigreindar, samþykki manna eykst. Engin gervigreindarlína getur undanþegið atburði frá endurskoðun.
Hvers vegna sannprófun er hjarta þessa viðskipta
Gervigreind virðist vera örugg í framleiðslunni sem hún gefur, en hún er kannski ekki viss. Tungumálalíkan getur búið til CVE-númer (veikleikaauðkenni) sem ekki er til, vísað í loglínu sem er ekki til í raun og veru, eða fullyrt að IP-tala sé „illgjarn“ án nokkurra sannana; þetta kallast ofskynjanir. Sama líkan gæti líka misst af alvöru árásarkeðju. Báðar gildrurnar koma með jöfnum vökva; Það eina sem skilur rétt frá röngu er sérþekking þín og vani þinn að sannreyna.
Sannprófunargreinin samanstendur af þremur skrefum:
- Binddu það við sönnunargögn: Passaðu hverja gervigreindarkröfu við óunnin annál, raunverulegt IOC, sannanlega CVE-skrá eða kóðann sjálfan. Allar fullyrðingar sem ekki er hægt að vitna í er ekki hægt að taka með í skýrslunni. Notaðu gervigreind til að vekja athygli, ekki sem sönnunargögn.
- Athugaðu sjálfstætt: Skoðaðu einnig svæði sem gervigreindin kallar „hrein“. Neikvætt gervigreind framleiðsla er ekki trygging fyrir „engri ógn“; Slepptu aldrei eigin kerfisbundinni greiningu.
- Samhengissía: Prófaðu af fagmennsku hvort úttakið passi við arkitektúr fyrirtækisins, viðskiptasamhengi og þekkta eðlilega hegðun. „Frávik“ þýðir ekki alltaf „árás“.
Varúð: Að skrifa undir gervigreindaratvikaskýrslu án þess að samræma hverja kröfu með óunnin sönnunargögn ber sömu ábyrgð og að koma með ásökun án sönnunargagna. Slétt framleiðsla er ekki nákvæm framleiðsla; Ef öryggisákvörðun er röng, þá er kostnaðurinn kerfishrun eða brot sem gleymst hefur.
Persónuvernd og siðferði: annálagögn eru viðkvæm gögn
Skrárskrár innihalda notendanöfn, IP-tölur, innri nöfn netþjóna, skráarslóðir og stundum persónuleg gögn. Þau eru vernduð samkvæmt KVKK (Persónuverndarlögum) í Türkiye og GDPR í Evrópu; Þar að auki eru þetta „innri njósnir“ sem leiða í ljós árásaryfirborð stofnunarinnar. Með því að líma atburð með óunnin annál, raunverulegum IP-tölum og innri netþjónsnöfnum í opinbert gervigreindarverkfæri afhjúpast ekki aðeins persónuleg gögn heldur ber einnig gagnlegt netkort til ytri netþjónsins. Reglan er einföld: nafnlaus og gríma fyrst. Skiptu út raunverulegum IP-tölum, notendanöfnum, innri hýsingarnöfnum fyrir staðgengla; Ef mögulegt er skaltu velja fyrirtækisverkfæri sem eru með gagnavinnslusamning og ekki nota gögnin þín í líkanaþjálfun.
Siðferðileg mörk eru að minnsta kosti jafn mikilvæg og tæknileg mörk. Munurinn á því að finna varnarleysi og nýta hann án leyfis er munurinn á löglegum og glæpsamlegum. Í þessari einingu notar þú aðeins gervigreind í kerfum sem þú hefur leyfi fyrir, í varnarskyni og með skriflegu leyfi. Að biðja gervigreind um að gera hluti eins og „skrifa árásarverkfæri“, „hvernig síast ég inn á þá síðu“, „framleiða virkan spilliforrit“ er utan fagsins og nútíma gervigreindarverkfæri hafna þeim hvort sem er.
þrjú smámál
Tilfelli 1 - Örugg notkun. Sérfræðingur rekst á 1.200 viðvaranir í SIEM á næturvakt. Hefur gervigreindina tekið saman hráar viðvaranir (nafnlausar); AI fellur saman 1.200 viðvaranir í 18 þyrpingar og dregur fram „340 misheppnaðar innskráningar frá sama innri IP, fylgt eftir með 1 árangri“ mynstur. Sérfræðingurinn sannreynir þennan þyrping með hráefnisskránni, finnur raunverulega árás með lykilorði og læsir reikningnum eftir 9 mínútur. AI hraðað flokkun; Sérfræðingur tók ákvörðun og sannprófun.
Tilvik 2 - Óstaðfest úttaksgildra. Annar sérfræðingur lætur gervigreindina forgangsraða lista yfir veikleika. Gervigreindin segir „CVE-2024-99999 er mikilvægt, plástu það núna.“ Sérfræðingur ætlar að plástra en opnar aldrei CVE færsluna; en það er engin slík CVE - líkanið myndaði númerið. Liðið tapar klukkutímum í að elta plástur sem er ekki til á meðan raunverulegum mikilvægum varnarleysi er seinkað. Staðfestingu er sleppt, krafan er ekki tengd upprunanum.
Mál 3 — Brot á þagnarskyldu. Til að flýta fyrir atviksrannsókn límir sérfræðingur hráa eldveggsskrána – með raunverulegum innri IP-tölum, notendanöfnum og VPN netþjónsnöfnum – í opinbert gervigreindarverkfæri. Netkerfi stofnunarinnar, nafnakerfi og notendalisti hefur farið á ytri netþjón. Rétta leiðin var að fela IP-tölurnar og nöfnin og deila aðeins mynstrinu.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Er árás í eftirfarandi log: 10.2.14.7 notandi ahmet.yilmaz kom inn á VPN, þá tengdur við skráarþjóninn FS-MUHASEBE-01. Forgangsraðaðu líka þessum veikleikum.
Þessi beiðni er gölluð á þrjá vegu: raunverulegu IP, notandanafni og netþjónsnafni er deilt (friðhelgi einkalífs), hlutverk og mörk gervigreindar eru ekki skilgreind og ekki er beðið um sannanlegar sönnunargögn. Gervigreind fyllir upp í eyðurnar með getgátum og hættan á tilbúningi myndast.
Öflug tilvitnun:
Hlutverk þitt: DRAFT aðstoðarmaður SOC sérfræðingsins. Ákvarðanataka; Lýstu atvikinu sem „árás“, einangraðu kerfið eða lokaðu fyrir notandann. Greindu bara nafnlausa annálamynstrið sem ég gaf þér. Tilgreindu fyrir hverja kröfu á hvaða loglínu þú byggir hana á; Merktu við „[staðfesta greiningaraðila]“ þar sem þú ert ekki viss; skopstæling IOC, CVE eða IP. Nafnlaust atvik: USER_A opnaði VPN í gegnum YURTDISI_IP klukkan 03:14; þá opnaðist 4.000 skrár á innri skráaþjóninn; Notandinn vinnur venjulega á milli 09:00-18:00. Spurningar: (1) hvaða mynstur eru grunsamleg, (2) hvaða viðbótargögn ætti ég að leita að, (3) gætu verið rangar jákvæðar?
Hinn sterki vilji er nafnlaus, skilgreinir hlutverk og mörk, setur spurningarmerki við tengsl við sönnunargögn og möguleikann á fölskum jákvæðum og bannar tilbúning.
Afritanleg hvetja sniðmát
Hlutverk og mörk Lýsingarsniðmát Þitt hlutverk: aðstoðarmaður öryggissérfræðings sem undirbýr DRÖG/GREININGU. Þú ert ekki sérfræðingur; Að lýsa atvikinu sem árás, einangra kerfið, loka fyrir notandann eða ganga frá opinberri skýrslu. Endanleg ákvörðun og undirskrift er hjá sérfræðingnum. Sýna sönnunargögn (log lína, IOC, CVE, kóða) fyrir hverja kröfu; Merktu eitthvað sem hefur engar sannanir sem "[verður að vera staðfest]", ekki gera það upp. Verkefni: [skrifa verkefni].
STJÓRNNÖFNUNARSTJÓRNTengdu út raunverulegar IP-tölur, notendanöfn, innri hýsingar-/miðlaranöfn, tölvupóst og lén, fyrirtækjaupplýsingar úr eftirfarandi öryggisgögnum; skipta út fyrir samkvæma staðgengla (USER_A, IC_IP_1, HOST_1). Haltu aðeins mynstrinu sem nauðsynlegt er til greiningar. Láttu mig vita af breytingum á lista. Gögn: [líma gögn]
SNIÐMÁT TIL AÐVELNARATANNAFyrir hverja niðurstöðu sem þú framleiðir skaltu skrifa við hliðina á henni: (1) hvaða sönnunargögn eru byggð á, (2) hvaða hráa skrá/heimild ætti ég að opna til að sannreyna, (3) líkurnar á falskri jákvæðni og hvers vegna. Notaðu „mögulegt/grunlegt“ þegar nauðsyn krefur frekar en nákvæmt orðalag. Engin CVE/IOC/IP tilbúningur.
HÆTTUSTIG ÚThlutunarsniðmát Flokkaðu öryggisverkefnið sem ég mun úthluta og skrifa rökstuðning: (A) lítil áhætta - AI yfirlit/samantekt nægjanleg, (B) miðlungs áhætta - sérfræðingur verður að sannreyna, (C) mikil/mjög mikil áhætta - ákvörðun/einangrun/tilkynning tilheyrir sérfræðingnum, gervigreind er aðeins gagnleg. Verkefni: [skrifa verkefni].
Algeng mistök
- Að misskilja gervigreind fyrir greinanda. Gervigreind leitar að mynstrum en ber enga ábyrgð eða vald; Þú ræður. Útkoman er uppkast, ekki dómur.
- Að deila raunverulegu IP, notanda- og hýsilheiti. Þetta er bæði KVKK-brot og netkortsleki sem mun gagnast árásarmanninum; gríma fyrst.
- Að treysta á neikvæða gervigreindarframleiðslu og slaka á leitinni. "Engin ógn" þýðir í raun ekki að svo sé; Slepptu aldrei eigin kerfisbundinni greiningu.
- Notar tilbúið CVE/IOC án staðfestingar. Getur passað tegundarnúmer og vísir; Staðfestu hvert með opinberri heimild.
- Óheimil/móðgandi notkun. Vinna aðeins í vörn, á eigin kerfum, með skriflegu leyfi; Annars er það bæði ólöglegt og siðlaust.
Ábending: Spyrðu sjálfan þig einnar spurningar fyrir hvert verkefni: "Hvað gerist ef þessi úttak er rangt?" Ef svarið er „árás sleppur“ eða „viðskiptaröskun eiga sér stað“ - eins og það gerir oft í öryggismálum - notaðu aðeins gervigreind fyrir samantektina/tillöguna/útlitið og slepptu aldrei staðfestingu.
Í stuttu máli
Gervigreind er öflugur aðstoðarmaður í netöryggi: hún tekur saman skrána, flokkar viðvörunina, greinir vefveiðar, skannar kóðann, býr til drög að skýrslum. En þetta er öryggisgagnrýnið svæði; Það er undir hæfum sérfræðingi komið að lýsa atviki sem árás, einangra kerfi, loka fyrir notanda og leggja fram opinbera skýrslu. Hlutverk gervigreindar á fimm stigum ferlisins (uppgötvun, greining, íhlutun, úrbætur, skýrslugerð) er mismunandi eftir áhættustigi; Eftir því sem áhættan eykst eykst velþóknun mannsins. Þrjár greinar standa vörð um hvert skref: sönnunargögn, óháð athugun, samhengissía. Og undir þessu öllu eru tvö takmörk: trúnaður (útflutningur á hráum gögnum án nafnleyndar) og siðareglur (aðeins leyfileg, varnar, leyfileg notkun).
Umsóknarverkefni
Veldu þrjú verkefni frá þinni eigin stofnun (eða dæmi um atburðarás): eitt litla áhættu (t.d. daglegt viðvörunaryfirlit), eitt miðlungsáhætta (t.d. vefveiðagreining), eitt mjög mikil áhætta (t.d. ákvörðun um að einangra kerfi). Fyrir hvern, (1) lýstu hlutverki gervigreindarinnar í einni setningu, (2) skrifaðu niður hvaða sannprófunarskref þú munt taka, (3) tilgreinið hvernig þú munt nafngreina gögnin. Aðlagaðu síðan „Hlutverk og mörk skilgreiningu“ sniðmátið að miðlungsáhættuverkefni þínu, skrifaðu vísbendingu og athugaðu hvernig þú munt sannreyna úttak þess með hráum sönnunargögnum.
gátlisti
- [ ] Ég ákvað áhættustig (lágt/miðlungs/hátt/mjög hátt) verkefnisins.
- [ ] Ég takmarkaði hlutverk gervigreindar við „aðstoðarmann/samantekt/tillögu/drög“; Ákvörðunin og undirskriftin er hjá sérfræðingnum.
- [ ] Ég gerði gögnin nafnlaus; raunverulegt IP-, notenda-, hýsingar- og lénsnöfn eru duluð.
- [ ] Ég lofaði að sannreyna allar fullyrðingar með hráum sönnunargögnum (log, IOC, CVE, kóða).
- [ ] Þrátt fyrir neikvæða gervigreindarframleiðslu mun ég framkvæma mína eigin kerfisbundna greiningu.
- [ ] Vitandi að það gæti verið falsað CVE/IOC/IP, mun ég staðfesta það með opinberri heimild.
- [ ] Ég takmarkast við leyfilega, varnarlega og skriflega leyfilega notkun eingöngu.