SOC vinnuflæði frá enda til enda, sjálfvirkni (SOAR), gæðastjórnun og sjálfsendurskoðun

Hagnaður:

• Geta til að hanna end-to-end SOC verkflæði sem samanstendur af söfnun, uppgötvun, könnun, rannsókn, íhlutun, endurbótum, skýrslugerð og endurgjöf, sem tilgreinir staðsetningu gervigreindar og mannhliða
• Hæfni til að aðgreina sjálfvirkni eftir áhættustigi (lágáhættu/afturkræf skref eru sjálfvirk, mikil/óafturkræf skref eru stjórnað af mönnum) og hanna afturköllunarleið fyrir hverja sjálfvirka aðgerð.
• Hæfni til að koma á sjálfseftirlits- og endurgjöfarlykkju sem mælir reglulega rangt jákvætt/neikvætt hlutfall, MTTD/MTTR, úttaksnákvæmni og líkanafrek

Þessi lokaeining sameinar hlutina sem við lærðum sérstaklega í gegnum eininguna—dagskrárgreiningu, ógnarleit, varnarleysisstjórnun, viðbrögð við atvikum, vefveiðum, kóðaskoðun, upplýsingaöflun, skýrslugerð—í eitt verkflæði frá enda til enda. Í sannri öryggisaðgerðamiðstöð (SOC) eru þessi skref ekki aftengd; Viðvörun kallar fram rannsókn, sem kallar á viðbrögð, sem kallar á tilkynningu, sem kallar á úrbætur. Gervigreind kemur við sögu í öllum hlekkjum þessarar keðju, en það er maðurinn sem heldur keðjunni og tekur ákvarðanir við allar mikilvægar dyr.

Auk þess fjallar þessi eining um tvö mikilvæg efni. Sú fyrsta er sjálfvirkni: Þegar SOAR (Security Orchestration, Automation and Response — vettvangurinn sem gerir sjálfvirkan og skipuleggur öryggisferla) og gervigreind sameinast, eykst bæði kraftur og áhætta; Það er nauðsynlegt að gera greinarmun á því sem hægt er að gera sjálfvirkt og því sem aldrei er hægt að fjarlægja úr mannlegu samþykki. Í öðru lagi, gæðastjórnun og sjálfsstjórnun: Öryggisaðgerð með gervigreind er ekki sett upp og yfirgefin einu sinni; stöðugt er fylgst með því, mæld, færð til baka og leiðrétt. Sjálfvirkni eykur hraða en útilokar ekki ábyrgð; Öryggisáætlun er aðeins örugg með reglulegu sjálfseftirliti.

SOC verkflæði frá enda til enda

Við skulum sjá hvar gervigreind kemur við sögu og hverjir samþykkja það í dæmigerðum líftíma atvika:

1. Söfnun og eftirlit: Logs renna til SIEM; AI dregur úr hávaða, tekur saman. (Sjálfvirkt, lítil áhætta.)
2. Uppgötvun og viðvörun: Regla + frávik + uppgötvun gervigreindarmynsturs. (Sjálfvirk framleiðsla; triage er í mönnum.)
3. Triage: Er viðvörunin raunveruleg eða falsk jákvæð? AI bendir til rökstuðnings og forgangs; sérfræðingur staðfestir. (Mannleg hurð.)
4. Rannsókn: gervigreind safnar sönnunargögnum, setur tímalínu, skráir undirrót; sérfræðingurinn staðfestir með hráum sönnunargögnum. (Mannleg hurð.)
5. Inngrip: Einangrun, læsing, þrif. AI veitir val/áhrif; Ákvörðunin er í höndum viðurkennds sérfræðings. (Mikilvægt mannlegt hlið.)
6. Úrbætur: Lokun varnarleysis, útrýming undirrótar. Drög að áætlun um gervigreind; samþykki í breytingastjórnun. (Mannlegur + ferli.)
7. Skýrslur: gervigreind skrifar uppkast, lagar sig að áhorfendum; Sérfræðingurinn sannreynir og undirritar sönnunargögnin. (Mannleg hurð.)
8. Lærdómur og endurgjöf: gervigreind dregur út mynstur; Uppfærir liðsgreiningarreglur og leikbók. (Mannlegur + ferli.)

Reglan um þessa keðju: áhættulítil, endurtekin, afturkræf skref geta verið sjálfvirk; Stórhættuleg, óafturkræf skref sem krefjast dómgreindar fara í gegnum dyr mannsins.

Tafla sjálfvirkniákvörðunar

skref

Getur það verið sjálfvirkt

ástandi

mannlegt samþykki

Log söfnun, eðlileg

Já einmitt

—

ekki nauðsynlegt

Viðvörunarauðgun (IOC leit)

Já

Heimildin er áreiðanleg

Það er endurskoðað

Falskt jákvætt brotthvarf (þekkt góð)

að hluta

ströng regla

Skoðað með sýnatöku

Vefveiðar í sóttkví

að hluta

mikil nákvæmni

Endurskoðun + afturköllunarslóð

Læstu reikningi sjálfkrafa

varkár

Aðeins skýr viðmið

Fljótleg sannprófun manna

Einangraðu netþjóninn

Almennt nei

Nema mikilvæg innviði

Þvinguð mannleg ákvörðun

Patching (framleiðsla)

nei

—

Próf + breytingastjórnun

Opinber skýrsla/tilkynning

nei

—

Sérfræðingur + lögfræði

Gæðastjórnun og sjálfsendurskoðun

Öryggisaðgerð sem knúin er gervigreind er lifandi kerfi; árangur þess breytist með tímanum (nýjar árásir, breytilegt umhverfi, líkanuppfærslur). Regluleg mæling er nauðsynleg til að halda því öruggum:

• Hlutfall falskt jákvætt og rangt neikvætt: Hversu oft vekur gervigreind viðvörun til einskis, hversu oft missir það af raunverulegri ógn? Sérstaklega er fylgst með fölskum neikvæðum vegna þess að þær valda skaða í hljóði.
• MTTD/MTTR: ​​Er meðaluppgötvun og viðbragðstími að batna?
• Nákvæmni gervigreindar framleiðsla: Hversu mikið af samantektum/niðurstöðum/tilvitnunum í gervigreind standast staðfestingu með sýnatöku?
• Sjálfvirkniöryggi: Virka sjálfvirkar aðgerðir eins og búist er við, eru einhverjar rangar kveikjur, virka afturköllunin?
• Endurgjafarlykkja: Verða raunverulegir atburðir sem finnast að nýjum uppgötvunarreglum og upphleyptar viðvaranir verða undantekningarlistar?

Skilmálar: MTTD (Mean Time To Detect). Endurgjöf lykkjan er þegar aðgerðin lærir af eigin niðurstöðum og uppfærir reglur sínar. Líkanafrek er þegar gervigreind verður úrelt og frammistaða minnkar eftir því sem umhverfið breytist. Sjálfsendurskoðun er regluleg, gagnrýnin endurskoðun á eigin ferlum liðsins.

þrjú smámál

Tilfelli 1 - Rétt sjálfvirkni. SOC gerir skrefið sjálfvirkt að „auga og forgangsraða viðvörunum sjálfkrafa sem passa við þekkta illgjarna IOC og eru í lágáhættuflokki“; en skilur alltaf skrefið „einangra netþjón“ til samþykkis manna. Niðurstaðan: Sérfræðingar eru leystir undan 400 venjubundnum viðvörunum á dag, sem losar um tíma fyrir raunverulegar rannsóknir og lætur manneskjuna eftir mikilvægar ákvarðanir. Hægri hluti keðjunnar er sjálfvirkur, rétti staðurinn er mannlegur.

Tilfelli 2 - Sjálfvirkni kemur í bakslag. Annar SOC skilgreinir „sjálfvirkan læsingarreikning við grunsamlega innskráningu“ regluna mjög vítt. Dag einn, vegna stillingarvillu, læsir reglan 1.200 lögmæta notendur í einu og vinnan hættir; Ennfremur er bataleiðin ekki skilgreind. Lærdómur: Mikil áhrif sjálfvirkni verður að hafa ströng viðmið, hægfara dreifingu og afturköllunarleið. Sjálfvirkni ætti að vera afturkræf og eftirlit með sjálfstýringu.

Tilfelli 3 — Hrunið sem er gripið af sjálfsstjórn. Í þriggja mánaða sjálfsskoðun tekur teymi eftir því að nákvæmni vefveiðaskynjunar gervigreindar er að minnka: nýrrar vefveiðabylgju er sleppt vegna þess að hún passar ekki við gömul mynstrin (mynstursvif). Teymið safnar sýnum, uppfærir uppgötvunarreglurnar og endurnýjar samhengið sem gervigreindinni er gefið. Án reglulegrar sjálfstjórnar hefði þessi þögla undanskot getað haldið áfram mánuðum saman. Lexía: bara vegna þess að frammistaða er góð einu sinni, þá helst hún ekki alltaf góð; mælingar og endurgjöf eru nauðsynleg.

Veik kvaðning / Sterk kvaðning

Veik kvaðning:

Gerðu SOC fullkomlega sjálfvirkan og láttu gervigreindina sjá um allt.

Þessi beiðni krefst sjálfvirkni án mismununar á áhættu, hunsar mannahurðir og tekur ekki til baka og stjórna. Ef þær koma til framkvæmda munu áhættusamar ákvarðanir verða sjálfvirkar án eftirlits og breytast í hörmung við fyrstu mistök.

Öflug tilvitnun:

Þitt hlutverk: Ráðgjafi í SOC ferlihönnun. [Skráðu] þessi lífsferilsþrep atburða í þrjú byggt á áhættustigi: (A) fullkomlega sjálfvirk (lítil áhætta, afturkræf, endurtekin), (B) AI mælir með + mannlegt samþykki, (C) alltaf mannleg ákvörðun (mikil áhætta, óafturkræf). Leggðu til skyldubundna afturköllunarleið og mælikvarða fyrir hvert (A) og (B). Gerðu einnig drög að gátlista fyrir sjálfsendurskoðun ársfjórðungslega: rangt jákvætt/neikvætt hlutfall, MTTD/MTTR, nákvæmni sýnatöku gervigreindar framleiðsla, merki um mynstursvökva.

Mikil eftirspurn skilur að sjálfvirkni eftir áhættustigi, krefst afturköllunar og eftirlits og setur sjálfstjórnarramma.

Afritanleg hvetja sniðmát

SJÁLFVIRKJARÁhættuaðskilnaður Sniðmát Skiptu þessum öryggisverkflæðisþrepum í þrjú: (A) fullkomlega sjálfvirkt viðeigandi, (B) Mælir með mannlegum samþykki, (C) alltaf mannlegar ákvarðanir. Skrifaðu rökstuðning, afturkræfni og viðskiptaáhrif fyrir hvert skref. Mælt er með lögboðinni braut til baka fyrir mikil höggþrep. Skref: [listi]

HÖNNUNARHÖNNUNARSNIÐMÁT fyrir sjálfvirka aðgerð [t.d. lokun reiknings] leggja til örugga hönnun: kveikjuviðmið (þröngt), hægfara dreifing, rangt kveikja afturköllunarskref, viðvörun og mannlegur sannprófunarstaður. Hönnun til að forðast blinda sjálfvirkni. Aðgerð: [skrifa]

SJÁLF-AUDIT GATLISTA Sniðmát Gerðu drög að ársfjórðungslega sjálfsendurskoðun gátlista fyrir gervigreindar-knúið SOC: rangt jákvætt/neikvætt hlutfall, MTTD/MTTR hlutdrægni, AI úttaksnákvæmni sýnatöku, sjálfvirkni rangar kveikjur, merki um mynsturrek, virkni endurgjafarlykkja, samræmi við friðhelgi/nafnleysi. Skrifaðu fyrir hvern hlut hvernig hann verður mældur.

Sniðmát fyrir endurgjöf LOOP Teiknaðu það sem er lært af raunverulegum atburði/viðvörun sem mistakast: (1) mynstrið sem verður að nýrri uppgötvunarreglu, (2) fölsku jákvæðu sem verður bætt við undantekningarlistann, (3) leikbókarskrefið sem verður uppfært, (4) nýja samhengið sem verður gefið gervigreindinni. Samantekt atburðar/viðvörunar: [líma]

Algeng mistök

• Sjálfvirkur áhættuþrepið. Óafturkræf skref eins og einangrun miðlara, framleiðslupjatla, opinber tilkynning eru ekki fjarlægð úr dyrum manna.
• Ekki úthugsa leið til að sækja. Það er mögulegt fyrir sjálfvirka aðgerð að ræsa rangt; Sjálfvirkni án þess að afturkalla og staðfesta er hættulegt.
• Stilltu og gleymdu. Frammistaða gervigreindar breytist eftir því sem umhverfið breytist; Án reglubundins sjálfseftirlits og mælinga safnast upp þögul undanskot.
• Bara að fylgjast með fölsku jákvæðu. Falsk neikvæð (raunverulega ógnin sem er sleppt) er hættulegri en erfiðara að sjá; Horfðu á það einslega.
• Vanrækja endurgjöf. Ef uppgötvuðu atvikin breytast ekki í nýja reglu og misheppnaðar viðvaranir breytast ekki í undantekningu, lærir aðgerðin ekki og endurtekur sömu mistök.

Ábending: Gullna spurningin í sjálfvirkniákvörðun: „Er hægt að afturkalla þessa aðgerð ef hún er virkjuð á rangan hátt og hver eru viðskiptaáhrifin? Ef svarið er „auðveldlega afturkallað, lítil áhrif,“ gera sjálfvirkan; Ef "óafturkræf eða mikil áhrif" haltu við dyrum manna.

Varúð: Sjálfvirkni útilokar ekki ábyrgð, hún flýtir aðeins fyrir henni. Vanhugsuð sjálfvirk aðgerð veldur tjóni mun hraðar og víðar en maður gæti. Sérhver sjálfvirkni er umkringd þröngum viðmiðum, snúningsbraut og reglulegri skoðun; Endanleg ábyrgð er alltaf hjá manneskjunni.

Í stuttu máli

Þessi eining sameinaði alla hluta einingarinnar í enda-til-enda SOC vinnuflæði: söfnun, uppgötvun, könnun, rannsókn, viðbrögð, úrbætur, skýrslugerð og endurgjöf. Gervigreind tekur þátt í hverjum hlekk, en það er maðurinn sem heldur keðjunni og tekur ákvarðanir við allar mikilvægar dyr. Sjálfvirkni (SOAR + AI) eykur kraft; Reglan er skýr: Lítil áhætta, afturkræf, endurtekin skref verða sjálfvirk, áhættusöm, óafturkræf skref fara í gegnum dyr mannsins og sérhver sjálfvirkni hefur leið til að afturkalla. Að lokum, AI-knúið öryggisforrit er í beinni: rangar jákvæðar/neikvæðar, MTTD/MTTR, úttaksnákvæmni og mynsturrek eru mæld reglulega; Það sem finnst breytist í reglur og leikbækur í endurgjöf. Sjálfvirkni flýtir fyrir ábyrgð, ekki fjarlægir hana; Sjálfsstjórn heldur örygginu lifandi.

Umsóknarverkefni

Skrifaðu út lífsferil þinn eigin stofnunar (eða sýnishorn SOC) atvika. Flokkaðu hvert skref sem A/B/C með „Automation Risk Separation“ sniðmátinu og fáðu örugga sjálfvirknihönnun með „Rollback Design“ sniðmátinu fyrir að minnsta kosti eitt „high impact“ skref. Búðu síðan til ársfjórðungslega gátlista með sniðmátinu „sjálfsendurskoðunargátlisti“ og ákvarðaðu hvernig þú munt mæla hverja mælingu í umhverfi þínu.

gátlisti

• [ ] Ég skipti hverju skrefi lífsferils atviksins í A/B/C áhættuflokk.
• [ ] Ég hélt áhættusömum, óafturkræfum skrefum við mannadyr.
• [ ] Ég hannaði þröng viðmið og afturkalla slóð fyrir hverja sjálfvirka aðgerð.
• [ ] Ég hef ætlað að fylgjast með hlutfalli rangra jákvæðra og sérstaklega falskra neikvæðra.
• [ ] Ég ætlaði að mæla MTTD/MTTR og AI úttaksnákvæmni reglulega.
• [ ] Ég setti á fót ársfjórðungslega sjálfseftirlitsgátlista fyrir mynstursvif.
• [ ] Ég tengdi fundna atburði og sendi viðvörun í endurgjöfarlykkjuna.

Einingapróf

1. SIEM triage AI merkti viðvörun sem „lágan forgang, líklega falskt jákvætt“ og ýtti henni neðst á listann. Hvað ætti sérfræðingur að gera við þessa viðvörun?

• A) Athugar samt sjálfstætt viðvörunina og sannreynir hana með hráum sönnunargögnum; Sérfræðingur tekur ákvörðun um lokun og skráir hana ✔
• B) Gervigreind slekkur sjálfkrafa á vekjaraklukkunni án þess að skoða hana vegna þess að hún segir að hún hafi lágan forgang.
• C) Flytur vekjarann ​​á næstu vakt eins og hún er.
• D) Skoðaðu bara samantektina sem gervigreind gefur og sendu skýrsluna

Skýring: Forgangsröðun gervigreindar er ráðlegging, ekki greining; Fáninn „lágur forgangur“ gæti hulið raunverulega árás (falsk neikvæð). Sérfræðingurinn verður samt sjálfstætt að athuga viðvörunina, sannreyna hana með hráum sönnunargögnum og taka ákvörðun um að loka henni sjálfur. Neikvætt gervigreind framleiðsla er engin trygging fyrir „engri ógn“.

2. Hvaða samsetning áhættu er gervigreind að merkja raunverulega árás sem „eðlilega“ og sérfræðingurinn að treysta þessu og slaka á eigin greiningu?

• A) Fölsk jákvæð og aðeins viðvörunarþreyta
• B) Falsk neikvæð og sjálfvirkni hlutdrægni (of treysta á gervigreind) ✔
• C) Skortur á logsuppsprettu eingöngu
• D) Aðeins villa í SIEM reglu

Skýring: Það er rangt neikvætt ef líkanið missir af raunverulegu ógninni; Sjálfvirkni hlutdrægni er þegar sérfræðingur treystir of mikið á gervigreind og yfirgefur óháða endurskoðun. Þegar þetta tvennt sameinast hverfur tilefni mannlegrar stjórnunar og hægt er að komast framhjá árásinni algjörlega. Þess vegna eru svæði sem gervigreind kalla „hrein“ líka skoðuð.

3. Gervigreindin sagði „CVE-2024-88888, CVSS 9.8, plástra strax“ á meðan á þrígang stendur. Hvað ætti sérfræðingur að gera fyrst?

• A) Telur CVE áreiðanlegan og setur pjatlaáætlunina strax af stað
• B) Bara vegna þess að CVSS er 9.8, setur það það í fyrsta sæti án þess að skoða neina aðra veikleika
• C) Staðfestir CVE númerið og stigið í NVD/söluaðilaskránni; ✔ Ef það er engin skrá verður hún ekki skráð vitandi að hún gæti verið fölsuð.
• D) Án þess að staðfesta CVE skrifar stjórnandinn það í skýrsluna sem „mikilvæg ógn“

Lýsing: Tungumálalíkön geta reiprennandi passað CVE númer og skor (ofskynjun) sem ekki er til. Sérfræðingurinn verður að staðfesta CVE í NVD/seljendaskránni og staðfesta áreiðanleika þess og stig áður en hann skuldbindur sig til plástraáætlunarinnar. Óstaðfest CVE tengist fyrst auðlindinni; Annars mun liðið eyða tíma í að elta plástur sem er ekki til.

4. Til að flýta fyrir atviksrannsókn límir sérfræðingur hráa eldveggskrána ásamt raunverulegum innri IP-tölum, notendanöfnum og VPN netþjónsnöfnum inn í gervigreindarverkfæri sem er aðgengilegt almenningi. Hvert er helsta vandamálið hér?

• A) AI getur ekki lesið logsniðið, svo greining er gagnslaus
• B) Ef loginn er of langur hægir það á líkaninu.
• C) Eldveggsskrár henta hvort sem er ekki til greiningar
• D) Raunverulegum IP, notenda- og netþjónsnöfnum er deilt án nafnleyndar; Þetta er bæði brot á KVKK og leka á netkorti samtakanna ✔

Lýsing: Öryggisgögn eru bæði persónuleg gögn (notandi, IP) og upplýsingaöflun fyrirtækja sem afhjúpa árásaryfirborð stofnunarinnar (netkerfi, nöfn netþjóna). Að gefa þetta utanaðkomandi tól án þess að nafngreina það er bæði brot á KVKK og sýnir netkort sem mun nýtast árásarmanninum. Í fyrsta lagi eru raunveruleg gildi duluð með samkvæmum staðgengum.

5. Hvað gerir það að verkum að ógnarleit þykir vel hönnuð?

• A) Það byrjar á áþreifanlegri, prófanlegri tilgátu og ummerkin sem fundust eru staðfest með hráum sönnunargögnum ✔
• B) Það byrjar á því að segja gervigreindinni „finndu hvort það er árásarmaður á netinu mínu“
• C) Lýsir sjálfkrafa yfir sérhverja óeðlilega/sjaldgæfa atburði sem finnast árás
• D) Það virkar aðeins þegar viðvörun berst, það er ekki fyrirbyggjandi

Skýring: Góð ógnarleit byrjar ekki með viðvörun, heldur með áþreifanlegum og prófanlegri tilgátu sem gæti reynst sönn eða ekki (t.d. „Tengdist reikningur X við fleiri en 50 innri IP-tölur á vinnutíma“). Óljós spurning eins og „Er eitthvað slæmt á netinu mínu“ er ekki hægt að prófa og lætur gervigreindina giska á. Sporin sem fannst er ekki talin ógn fyrr en það hefur verið staðfest með óunnum sönnunargögnum.

6. Varnarleysi hefur CVSS-einkunnina 9,1 á einangruðum prófunarþjóni á innra neti; Í sama lista, CVSS 7.5 á netþjóni sem er opinn fyrir internetinu, en það er annar veikleiki í KEV listanum (sem er í raun nýtt). Hvað er rétt forgangsröðun?

• A) Sá sem hefur hæsta CVSS (9.1) er alltaf lagaður fyrst
• B) Varnarleysi 7.5 á internetinu og KEV listanum er tekið fram; CVSS er ekki eina viðmiðið, útsetning og raunveruleg misnotkun eru afgerandi ✔
• C) Báðir eru lagaðir á sama tíma og með sama forgang, aðgreining er óþörf
• D) Enginn þeirra er lagfærður vegna þess að það er varnarleysi í prófunarþjóninum

Skýring: CVSS setur ekki forgangsröðun eingöngu; Raunveruleg áhætta er ákvörðuð af EPSS (líkur á nýtingu), KEV (raunverulegri nýtingu) og skipulagssamhengi (útsetning, gagnrýni, uppbótareftirlit). Varnarleysi vegna netsins og raunverulega nýtt (KEV) kemur í veg fyrir einangrað og litlar líkur á varnarleysi með háum CVSS.

7. Í atvikssvar segir gervigreind „Umferð sem kemur frá IC_HOST_7 er grunsamleg, einangraðu þennan netþjón“. IC_HOST_7 er aðal auðkenningarþjónn stofnunarinnar. Hvað ætti sérfræðingur að gera?

• A) Gervigreind einangrar þjóninn strax vegna þess að hún segir það
• B) Lætur ákvörðun um einangrun algjörlega eftir gervigreind
• C) Fyrst metið viðskiptaáhrif og orsök umferðar; Það einangrar ekki mikilvæga innviði án þess að mæla áhrif þeirra og tekur ákvörðunina sem sérfræðingur ✔
• D) Einangrar netþjóninn og eyðir svo öllum logs

Lýsing: Einangrun er mikilvæg ákvörðun sem erfitt er að snúa við og getur leitt til truflana í viðskiptum; ekki hægt að yfirfæra á gervigreind. Að einangra auðkenningarþjóninn getur komið í veg fyrir að allir starfsmenn skrái sig inn. Sérfræðingurinn verður fyrst að meta viðskiptaáhrifin og orsök umferðarinnar (gæti verið lögmæt viðskipti), taka ákvörðunina sjálfur; Ekki ætti að útfæra tillöguna um gervigreind sem skipun.

8. Í lausnarhugbúnaðaratviki vill teymið endurbyggja viðkomandi vél til að hreinsa hana fljótt; en það eru réttar sönnunargögn (minni dump, árásarverkfæri) á vélinni sem hefur ekki enn verið safnað. Hver er rétta nálgunin?

• A) Vélin er strax sett upp aftur; sönnunargögn eru óviðkomandi
• B) Gervigreind er beðin um „hratt hreinsun“ og leiðbeiningunum er beitt í blindni.
• C) Slökkt er á vélinni og henni hent vegna þess að sönnunargögnin eru þegar í skránni.
• D) Fyrst er réttarmyndin og minnisupptakan tekin og sönnunargögnin varðveitt, síðan er hreinsað/endurheimt ✔

Skýring: Hraði bata getur ekki trompað varðveislu sönnunargagna. Að setja vélina aftur upp án þess að safna sönnunargögnum eyðileggur gæzlukeðjuna og lamlar réttarfarið. Fyrst er réttarmynd og minnisupptaka tekin, síðan er hreinsun/endurheimt framkvæmd. Réttarráðstafanir eru ekki framseldar til gervigreindar.

9. Hvert er eitt áreiðanlegasta lag tæknilegrar sannprófunar þegar grunaður er um vefveiðar og hvernig ætti að staðfesta hann?

• A) SPF/DKIM/DMARC leiðir til tölvupósthausa; Staðfest út frá hráum titli, ekki frá samantekt gervigreindar ✔
• B) Litur og letur í tölvupósti; ákveðið með sjónrænni hönnun
• C) Smelltu á grunsamlega hlekkinn í beinni kerfinu og skoðaðu síðuna sem opnast.
• D) Gervigreind sem segir „vefveiðar“ eitt og sér er næg sönnunargögn

Skýring: SPF/DKIM/DMARC niðurstöður í tölvupósthausum eru sterkar vísbendingar um hvort tölvupósturinn komi í raun frá léninu sem það segist vera; Ef allir þrír mistakast og sendandinn spokar lénið verður grunurinn sterkari. Hins vegar ætti þetta að vera staðfest út frá hráefninu en ekki frá samantekt gervigreindar. Að auki er aldrei smellt á grunsamlega hlekki á lifandi kerfinu.

10. Í kóðaúttekt lagði gervigreindin til lagfæringu á XSS varnarleysi og sagði „það lokar varnarleysinu“. Hvað ætti sérfræðingur/verktaki að gera?

• A) Telur lagfæringuna áreiðanlega og setur hana beint í framleiðslu
• B) Farið yfir lagfæringuna, staðfestir að hún lokar í raun veikleikanum og kynnir ekki nýja veikleika/galla og skrifar próf; Aðeins þá kemst það í geymslu ✔
• C) Þar sem hann er ekki viss, endurskrifar hann alla skrána yfir á gervigreindina og notar hana.
• D) Notar lagfæringuna en stenst án þess að skrifa nein próf

Skýring: Lagfæringin sem gervigreindin leggur til er ekki sjálfkrafa örugg; Það getur verið að það loki ekki varnarleysinu alveg, það gæti hreinsað rangt lag, eða það gæti komið með nýja varnarleysi/virknivillu. Hver plástur er endurskoðaður, metinn hvort hann lokar í raun og veru veikleikanum og hvort hann kynnir ný vandamál og jákvæð og neikvæð próftilvik eru skrifuð; Aðeins þá fer það inn í vöruhúsið.

11. Þegar gervigreindin greindi árás sagði hann „þetta er örugglega verk APT-Dark Eagle hópsins“. Hver er rétta nálgunin hvað varðar ógnargreind?

• A) Samþykktu tilvísunina eins og hún er og skrifaðu hana í skýrsluna sem „ákveðinn gerandi“
• B) Hann byggir alla vörn sína út frá þeim hópi án þess að efast um hópnafnið.
• C) Notar tungumál í „samræmi við tækni“ frekar en nákvæma útreikning, sannreynir hópinn í þekktum heimildum og tekur tillit til möguleika á tilbúningi ✔
• D) Tilvitnun er alltaf óþörf, hún er alls ekki tekin til greina

Skýring: Hópúthlutun er erfiðasta og ónákvæmasta svið upplýsingaöflunar; AI getur jafnvel búið til hljómsveitarnafn sem er ekki til. Í stað nákvæmrar tilvísunar er tungumálið „samhæft við þessar aðferðir“ notað og hópnafnið er staðfest í þekktum njósnaheimildum. Að auki byggist vörnin ekki á skammvinnum IOC heldur varanlegri TTP uppgötvun.

12. Í drögum að atviksskýrslu skrifaði gervigreindin setninguna „árásarmaðurinn var líklegast inni í þrjár vikur og fór í gegnum gögn viðskiptavina“; en það eru engar óyggjandi sannanir til að styðja þessar fullyrðingar. Hvað ætti sérfræðingur að gera?

• A) Lætur setninguna vera eins og hún er vegna þess að hún er dramatísk og áhrifamikil
• B) Skilur eftir setninguna en bætir við „gervigreind skrifað“ í lokin
• C) Endurprentar alla skýrsluna til gervigreindar og undirritar hana án þess að staðfesta hana.
• D) Leiðréttir fullyrðingar byggðar á sönnunargögnum; Gerir greinarmun á „mögulegum/sönnuðum/undir rannsókn“ og dregur út endanlega yfirlýsingu án sönnunargagna ✔

Athugasemd: Í formlegri öryggisskýrslu ætti sérhver fullyrðing að vera rökstudd og aldrei ætti að rugla „líklegum“ saman við „sannað“. Krafa án sönnunargagna hefur lagalegar, fjárhagslegar og orðsporslegar afleiðingar. Sérfræðingur ætti að leiðrétta setninguna í samræmi við sönnunargögnin (til dæmis, skrifa dagsetningu fyrsta aðgangs sem fannst og segja „engar óyggjandi sönnunargögn fundust, rannsókn stendur yfir“ vegna gagnaleka).

13. Stjórnandi vill kynna alla virkni starfsmanns úr öryggisskrám með gervigreind til að skilja hvort hann sé „hollur“ eða ekki. Hvað ætti öryggissérfræðingur að gera?

• A) Hafnar beiðninni og vísar henni í viðeigandi farveg (HR/lögfræðileg/skilgreind rannsókn); öryggisgögn eru ekki leið til persónulegs eftirlits ✔
• B) Býr til og afhendir prófílinn vegna þess að stjórnandinn biður um það
• C) Það dregur aðeins út suma annála og gefur snið að hluta
• D) Láttu sniðið búa til með gervigreind því ábyrgðin færist yfir á gervigreind

Lýsing: Öryggisgögnum er safnað í öryggisskyni; Að fylgjast með/eða persónulýsingu er misnotkun, breytist í persónulegt eftirlit og brýtur í bága við KVKK. Sérfræðingur ætti að hafna þessari beiðni og vísa henni í viðeigandi farveg (HR, lagalegur, skilgreindur og lögmætur rannsóknarrammi). Viðskiptavilji eða vilji stjórnandans réttlætir ekki þessi mörk.

14. SOC ákveður hvaða skref öryggisverkflæðisins á að gera sjálfvirkan. Hver er besta reglan fyrir sjálfvirkni?

• A) Hæstu áhættuákvarðanir ættu að vera sjálfvirkar fyrst svo það sé engin mannleg þátttaka
• B) Lítil áhættu/afturkræf skref eru sjálfvirk; mikil áhætta/óafturkræf skref eru enn fyrir dyrum mannsins og sérhver sjálfvirkni getur losnað við ✔
• C) Öll SOC ætti að vera fullkomlega sjálfvirk og sjálfsendurskoðun er óþörf
• D) Ekki þarf að afturkalla sjálfvirkar aðgerðir vegna þess að gervigreind gerir ekki mistök

Skýring: Lágáhættuleg, endurtekin og afturkræf skref (söfnun annála, auðgun viðvörunar) er hægt að gera sjálfvirkan; Mikil áhættuskref, óafturkræf og dómsþörf skref (einangrun miðlara, framleiðsluplástur, opinber tilkynning) fara í gegnum mannlegar dyr. Að auki verður hver sjálfvirk aðgerð að hafa þröng viðmið og leið til að afturkalla. Sjálfvirkni fjarlægir ekki ábyrgð, hún flýtir henni bara fyrir.