Hagnaður:
- Skilningur á því að öryggisgögn eru viðkvæm í þremur lögum (persónuupplýsingar, upplýsingaöflun fyrirtækja, veikleikakort) og ekki er hægt að afhenda þau utanaðkomandi tól án nafnleyndar.
- Það sem greinir vörn frá árás er vald og ásetning; Að geta framfylgt þeirri góðri trú kemur ekki í stað heimildar og leyfi ökutækisins kemur ekki í stað lögmætis.
- Geta breytt öryggisgögnum í persónulegt eftirlit og venjast því að spyrja „hef ég heimild, hef ég nafnleynd, er tilgangurinn í vörn“ fyrir hvert verkefni?
Í þessari einingu notuðum við gervigreind í öllum þáttum starfs öryggissérfræðings: greiningu á ógnum, ógnarleit, forgangsröðun á varnarleysi, viðbrögð við atvikum, vefveiðum, greiningu á kóða, ógnunargreind, skýrslugerð. Þessi eining fjallar um línurnar sem dregnar eru í kringum alla þessa öflugu notkun. Vegna þess að kraftur gervigreindar í netöryggi er tvíþættur: sömu getu er hægt að nota bæði til varnar og árása; Sami gagnaaðgangur hraðar og lekar vinna. Þessi eining skýrir muninn á "getur" og "ætti".
Það eru tvö grundvallartakmörk og þau eru bæði óumdeild. Hið fyrsta er friðhelgi einkalífs og gagnavernd: öryggisgögn (logga, IP-tölur, notendaupplýsingar, kóða, upplýsingar um atburði) eru bæði persónuleg gögn og viðkvæm upplýsingaöflun sem afhjúpar árásaryfirborð stofnunarinnar; Hann fer hvergi án verndar. Í öðru lagi, siðfræði og lögmæti: gervigreind er aðeins notuð í kerfum sem þú hefur leyfi fyrir, í varnarskyni og með skriflegu leyfi; Óviðurkenndur aðgangur, gerð árásartækja eða óviðkomandi prófun er glæpur. Titill þessarar einingar er ekki slagorð, það er leyfi fyrir fagið: óstaðfest útprentun er krafa, óheimil notkun er glæpur.
Persónuvernd: hvers vegna eru öryggisgögn svona viðkvæm?
Öryggisgögn eru viðkvæm í þremur lögum:
- Persónuupplýsingalag: Notendanöfn, tölvupóstur, IP-tölur (sem geta talist persónuupplýsingar í KVKK), aðgangsskrár. Það er varið samkvæmt KVKK og GDPR.
- Fyrirtækjagreindarlag: Innra netkerfi, nöfn netþjóna, nafnakerfi, hvaða kerfi er hvar. Þetta gefur árásarmanninum kort af stofnuninni.
- Varnarleysislag: Hvaða veikleikar eru opnir, hvaða kerfi er viðkvæmt. Þetta er listi yfir skotmörk fyrir árásarmanninn ef upplýsingarnar leka út.
Með því að líma atburð með óunnin annál, raunverulegum IP og innri nöfnum netþjóns í opinbert gervigreindarverkfæri afhjúpast öll þrjú lögin. Regla: fyrst nafnleysa, síðan alls ekki gefa það upp ef hægt er. Skiptu út raunverulegum gildum með samkvæmum staðgengum (USER_A, IC_IP_1, HOST_1); Ef mögulegt er, notaðu verkfæri fyrirtækja sem eru með gagnavinnslusamning, ekki nota gögnin þín í líkanaþjálfun og vinndu helst á staðnum. Í sumum tilfellum (t.d. yfirstandandi réttarrannsókn, leynileg gögn) eru engin utanaðkomandi verkfæri notuð.
Siðfræði og lögmæti: varnarlína/árásarlína
Sama kunnáttu er hægt að nota bæði í vörn og sókn; vald og ásetning ráða muninum. Að finna og loka veikleika í þínu eigin kerfi er vörn; Að leita í kerfi einhvers annars án leyfis er óviðkomandi aðgangur. Greining á phishing tölvupósti er vörn; Að skrifa sannfærandi phishing-yfirlýsingu er árás. Að skoða log og greina árás er vörn; Að safna gögnum til að fylgjast með einstaklingi er einelti og ólöglegt.
Eftirfarandi tafla gerir þessa línu skýra:
aðgerð
Vörn (lögmæt)
Árás/bann
Að finna varnarleysi
Í eigin kerfi, með leyfi, til að loka
Í einhvers annars, án leyfis
Skyggndarprófun
Með skriflegu umfangi og leyfi
Óheimil próf = árás
Vefveiðar
greina, greina
framleiða, senda
spilliforrit
Greining (í einangrun)
skrifa, dreifa
gagnasöfnun
Fyrir viðburðinn, alhliða, skráð
að horfa á, að njósna um manneskjuna
Aðgangur
innan valds
óviðkomandi = glæpur
Nútíma gervigreind verkfæri hafna þegar beiðnum eins og „skrifaðu mér virkan lausnarhugbúnað“ eða „hvernig fer ég inn á þá síðu“; En ábyrgðin liggur ekki í síu ökutækisins, heldur í starfssiðferði þínu. Óheimil notkun er ekki lögmæt ef ökutækið leyfir það.
Staðfesting: tæknileg stoð siðfræðinnar
Staðfesting er ekki bara gæðaskref, hún er siðferðileg skilyrði. Að skrifa ósönnuð ásökun í skýrslu getur þýtt að saka einhvern á ósanngjarnan hátt eða trufla vinnu með rangri ákvörðun. Við skulum ítreka sannprófunarregluna sem við höfum litið á í þessari einingu sem siðferðileg meginreglu hér: Engin uppgötvun, IOC, CVE, eignarhlutur eða skýrslusetning framleidd af AI breytist í aðgerð eða opinbert skjal án þess að vera staðfest með hráum sönnunargögnum og opinberri heimild.
þrjú smámál
Mál 1 - Rétt nafnleynd. Sérfræðingur vill greina mikilvæg atvik með gervigreind. Það skiptir fyrst öllum raunverulegum IP-tölum, notendanöfnum og innri nöfnum netþjóns út fyrir samræmda staðgengla, notar samningsverkfæri fyrirtækjagagnavinnslu og deilir aðeins mynstrinu. Greining er hraðari, engin viðkvæm gögn leka. Þetta er rétta leiðin: hraði og friðhelgi einkalífsins þurfa ekki að útiloka hvert annað.
Mál 2 - Óheimiluð „góðgerðarstarfsemi“. Sérfræðingur „veltir fyrir sér hvort fyrirtæki vinar sé öruggt“ og spyr gervigreindina hvernig eigi að prófa kerfi þess fyrirtækis. Þó að þetta kunni að virðast vel meint, þá er þetta tilraun til óviðkomandi aðgangs: að prófa kerfi einhvers annars án skriflegs leyfis og skilgreinds umfangs er glæpur. Rétt leið: engin prófun yfirleitt; beina því til eigin öryggisteymi fyrirtækisins eða viðurkenndrar skarpskyggniprófunarþjónustu. Viðskiptavild kemur ekki í stað valds.
Mál 3 - Farið yfir í eftirlit. Stjórnandi vill nota gervigreind til að kynna alla virkni starfsmanns úr öryggisskrám til að skilja hvort viðkomandi sé „hollur“ eða ekki. Þetta færist út fyrir tilgang öryggis í persónulegt eftirlit; Það brýtur bæði gegn KVKK og fer yfir lögmæt notkunarmörk öryggisgagna. Öryggissérfræðingurinn hafnar þessu og beinir beiðninni í viðeigandi farveg (HR, lagaleg, skilgreindur rannsóknarrammi). Lexía: öryggisgögnum er safnað til öryggis; Það er ekki persónulegt eftirlitstæki.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Greindu alla virkni Ahmet Yılmaz (10.2.14.7) á síðustu 3 mánuðum, er hann að gera eitthvað grunsamlegt, búðu til persónuleikaprófíl.
Þessi beiðni beinist að raunverulegum einstaklingi, veitir persónuleg gögn án grímu, fer út fyrir öryggistilgang og rennur yfir í eftirlit og biður um ólögmæt úttak eins og „persónusnið“. Það er bæði KVKK-brot og siðferðisbrot.
Öflug tilvitnun:
Hlutverk þitt: aðstoðarmaður sem leggur drög að öryggisgreiningu fyrir sérfræðinginn. Vinna með nafnlaus gögn innan umfangs skilgreindrar atviksrannsóknar. Verkefni:Er frávik í aðgangsmynstri USER_A í skilgreindum atburðaglugganum (03:00-04:00) sem er samhæft við tilgátuna um gagnaleka? Ekki tjá þig um persónuleika/hollustu; metið bara tæknilega mynstrið eftir sönnunarlínunni. Ekki afþakka. Gögn: [nafnlaust, aðeins viðeigandi gluggi]
Sterk beiðni er nafnlaus, takmörkuð við skilgreint umfang rannsókna, krefst ekki persónulegrar túlkunar, vinnur aðeins með viðeigandi gögnum og tæknilegu mynstri.
Afritanleg hvetja sniðmát
ANONANOMIZING REITING SAMPLATE Athugaðu eftirfarandi gögn áður en þú gefur þau til ytra gervigreindarverkfæris: er einhver raunverulegur IP, notendanafn, tölvupóstur, innri gestgjafa/þjónnarnafn, lén, fyrirtækjaupplýsingar, persónuleg gögn eftir á því? Skráðu þá alla og stingdu upp á samkvæmum staðgengum. Viðvörun ef eitthvað er grunsamlegt. Gögn: [líma]
UMVIÐ OG ATHUGASEMDAMÁTTI Athugaðu öryggisverkefnið sem ég mun gera: er það innan þeirra kerfismarka sem ég hef heimild fyrir, er það innan skilgreinds tilgangs/rannsóknar, færist það yfir í persónulegt eftirlit, þarf það skriflegt leyfi? Ef það er rauður fáni, vara við og benda á lögmætan valkost. Verkefni: [skrifa]
SIÐFRÆÐI ÁMINNINGARSNIÐMÁT Metið beiðnina: er hún vörn og leyfileg, eða fellur hún undir mörk óviðkomandi aðgangs/árásar/eftirlits? Ef það er lögmætt skaltu skrifa hvernig á að gera það á öruggan hátt, ef ekki, hvers vegna það ætti ekki að gera það og rétta rásina. Beiðni: [skrifaðu]
SANNAÐ KRÖFUNAR SAMMENNINGS Fyrir hverja uppgötvun, IOC, CVE, tilvísun og skýrslusetningu sem þú framleiðir, bætið við athugasemd "með hvaða hráu sönnunargögnum/opinbera heimild ætti að sannreyna". Gerðu ráð fyrir að það verði ekki aðgerð eða opinbert skjal fyrr en það hefur verið staðfest. Verkefni: [skrifa]
Algeng mistök
- Framhjá nafnleynd. Það er rangt að segja "innri notkun samt sem áður"; Sérhver raunverulegur IP/notandi/gestgjafi fyrir ytra gervigreindarverkfæri er leki.
- Að misskilja góðan ásetning fyrir vald. „Ég vildi hjálpa“ réttlætir ekki óviðkomandi aðgang; Skriflegt leyfi og skilgreint umfang þarf.
- Að breyta öryggisgögnum í eftirlit. Logum er safnað til öryggis; Að sniðganga/eftirlit með manni er brot á KVKK og misnotkun.
- Að halda að leyfi ökutækisins sé lögmætt. Bara vegna þess að gervigreind hafnar ekki einhverju, þá er sú aðgerð ekki lögleg/siðferðileg; Ábyrgðin er á þér.
- Að hugsa um sannprófun sem lúxus. Ásakanir án sönnunargagna geta sakað einhvern ósanngjarnan eða hætt vinnu; sannprófun er siðferðileg skylda.
Ábending: Spyrðu þriggja spurninga áður en verkefnið er: "Er ég með heimild í þessu kerfi? Hef ég gert þessi gögn nafnlaus? Er þessi tilgangur vörn eða eftirlit/móðgandi?" Ef þú getur ekki sagt skýrt „já/vörn“ við öllum þremur skaltu hætta og ráðfæra þig við einhvern sem hefur yfirvald.
Varúð: Óviðkomandi aðgangur, óheimilar prófanir, reiðhestur og persónulegt eftirlit; Jafnvel þótt það sé gert af góðum ásetningi er það glæpur og utan þessa starfsstéttar. Kraftur gervigreindarinnar breytir ekki þessari línu, hún eykur aðeins hraða hennar ef það er rangt notað. Mörkin eru ekki tæknileg, heldur lögleg og siðferðileg.
Í stuttu máli
Þessi eining hefur sett óvéfengjanlegar línur í kringum þá öflugu notkun sem lærð hefur verið í gegnum eininguna. Það eru tvö mörk: trúnaður (öryggisgögn eru persónuupplýsingar + upplýsingaöflun fyrirtækja + varnarleysiskort; ekki gefið út án nafnleyndar, ef mögulegt er) og siðfræði/lögmæti (AI er aðeins notað í viðurkenndum kerfum, í varnarskyni, með skriflegu leyfi). Það sem aðgreinir vörn frá árás er vald og ásetning; Góð trú kemur ekki í stað heimildar og leyfir ökutækja kemur ekki í stað lögmætis. Sannprófun er ekki aðeins gæði, það er siðferðileg skylda sem kemur í veg fyrir ásakanir án sönnunargagna og rangar ákvarðanir. Þrjár spurningar á undan hverju verkefni: hef ég heimild, hef ég nafnleynd, er tilgangurinn í vörn?
Umsóknarverkefni
Veldu þrjú af verkefnunum sem þú lærðir í einingunni (t.d. annálagreining, vefveiðagreining, atviksrannsókn). Notaðu „Umfangs- og heimildastýring“ og „Nafnleyfingareftirlit“ sniðmát fyrir hvert: hefurðu heimild, hvernig ætlarðu að nafngreina gögnin, er tilgangurinn á landamærum til varnar? Skrifaðu síðan sýnishornsbeiðni sem fer yfir mörkin (óheimil/eftirlit) og skjalfestu hvers vegna henni ætti að hafna og hver rétta rásin er með „Ethical Limit Reminder“ sniðmátinu.
gátlisti
- [ ] Í hverju hlutverki vann ég aðeins á kerfum sem ég hafði leyfi fyrir.
- [ ] Ég nafngreindi og rændi gögnin áður en ég gaf þau til ytra tólsins.
- [ ] Ég staðfesti að tilgangurinn er vörn, ekki eftirlit/árás.
- [ ] Ég skipti ekki góðum vilja út fyrir heimild eða leyfi ökutækisins fyrir lögmæti.
- [ ] Ég hafnaði beiðnum um persónusnið/rakningar og beindi þeim á rétta rás.
- [ ] Ég breytti ekki hverri niðurstöðu/IOC/CVE/tilvitnun/kröfu í verk án þess að sannreyna það.
- [ ] Þegar ég var í vafa, ráðfærði ég mig við einhvern með yfirvald (löglegur, stjórnunarlegur, ábyrgðaraðili).