Hagnaður:
- Skildu að gervigreind tekur saman og þyrlar þúsundum annálalínum, setur tímalínu og dregur fram grunsamlegt mynstur, en sérfræðingurinn ákveður að atburðurinn sé raunveruleg árás með óunnin dagbók.
- Geta til að beita grunnlínu (venjulegri hegðun) þegar SIEM viðvörun er metin og hvernig á að útrýma fölskum jákvæðum án samhengis og hvernig ekki er hægt að túlka frávikið
- Hæfni til að tileinka sér þann vana að sannreyna atburðarásina sem stofnað er til með gervigreind í óunnin dagbók og fjarlægja óviðeigandi fylgni
Öryggissérfræðingur eyðir megninu af deginum í að lesa annála. Log er lína af texta sem tímastimplar hvað gerðist í kerfi: hver skráði sig inn hvenær, hvaða skrá var opnuð, hvaða tengingu var hafnað. Vandamálið er ekki það að það er of lítið af stokk, það er að það er svo mikið af því að það er að kafna. Meðalstór stofnun framleiðir hundruð milljóna loglína á dag. Í þessum hrúgu er ummerki raunverulegrar árásar nálin í heystakknum. SIEM (Security Information and Event Management - kerfið sem safnar og tengir annála frá mismunandi aðilum í einni miðstöð og framleiðir reglubundin viðvörun) er til staðar til að finna þessa nál; en flestar viðvaranir sem SIEM framkallar eru líka falskar jákvæðar (tilgerðarlausar viðvaranir sem eru í raun ekki ógnir). Hið raunverulega starf sérfræðingsins er að ná raunverulegu merkinu úr þessum hávaða.
Gervigreind er öflugt hjálpartæki við þessa flokkun. Það getur lesið þúsundir loglína á sekúndum og dregið þær saman á mannamáli, safnað endurteknum mynstrum, lýst atburðarás sem „fyrst gerðist þetta, síðan það,“ og útskýrt hvers vegna viðvörun virðist grunsamleg. En gervigreindin veit ekki hvað skráin þýðir í samhengi stofnunarinnar: „aðgangur klukkan 3:00“ er árás á einni stofnun, næturvakt eðlileg á annarri. Þannig að gervigreindin tekur saman og flaggar skránni, en sérfræðingurinn ákveður hvort atburður sé raunveruleg árás og staðfestir það með óunnin log.
Skref við greiningu á annálum
Svona keyrir þú skref-fyrir-skref log/SIEM greiningu með gervigreind:
- Safna og nafngreina. Fjarlægðu viðkomandi logabrot; skipta út raunverulegum IP-tölum, notendanöfnum, innri hýsingarnöfnum fyrir staðgengila (USER_A, IC_IP_1). Flyttu aldrei út hrá gögn eins og þau eru í utanaðkomandi tól.
- Gefðu samhengið. Segðu gervigreindinni hvaðan annálinn er (eldvegg, Windows atburðaskrá, vefþjónn), hver eðlileg hegðun er og hverju þú ert að leita að. Loggreining án samhengis er villandi.
- Tekið saman og safnað saman. Biddu gervigreindina um að flokka þúsundir raða eftir atburðategundum, draga út fjölda atvika og búa til tímalínu.
- Láta merkja grunsamleg mynstur. Auðkenndu mynstur eins og „ein innskráning sem tókst ekki eftir misheppnaðar innskráningar“, „margir skráaaðgangar á stuttum tíma“, „nettenging sem tilheyrir óþekktu ferli“.
- Staðfestu með hráum sönnunargögnum. Finndu og staðfestu hvert mynstur sem gervigreindin flaggar í raunverulegum loglínum. Skannaðu líka fyrir sjálfan þig svæðin sem gervigreindin saknar.
- Ákvörðun og skráning. Lýstu yfir raunverulegum atburði sem sérfræðingur, opnaðu miða og skjalfestu að gervigreindin sé aðeins eldsneytisgjöf.
Nokkur hugtök: Log source er kerfið sem framleiðir annálinn. Fylgni er að leiða saman atburði frá mismunandi aðilum og skilja þá (VPN innskráning + skráaaðgangur + gagnaflutningur = mögulegur leki). Grunnlína er mælikvarði á eðlilega hegðun kerfis; Frávik er aðeins skynsamlegt miðað við grunnlínuna. UEBA (User and Entity Behavior Analytics) er gervigreindaraðferð sem lærir eðlilega hegðun hvers notanda og merkir frávik.
samanburðartöflu
Nálgun
Hvernig virkar það
sterkur punktur
veikleiki
Reglubundið SIEM
Lagaðar „ef-þá“ reglur
Gegnsætt, útskýranlegt
Missir af óþekktri árás, fullt af fölskum jákvæðum
Undirskrift byggð uppgötvun
Passar við þekkt slæmt mynstur
Hratt á þekktri ógn
Blindur fyrir nýrri/breyttri árás
Frávik/UEBA (AI)
Finnur frávik frá eðlilegu
Getur fanga hið óþekkta
Frávik = ekki árás; hætta á fölskum jákvæðum
Samantekt með gervigreind
Tekur saman innskráninguna á tungumáli
Hraði, læsileiki
Ekkert samhengi, hætta á ofskynjunum
Sérfræðingur (mannlegur)
Athugasemdir með samhengi
ákvörðun, ábyrgð
Hægur, verður þreyttur, skalast ekki
Rétta uppsetningin er ekki að velja einn heldur að setja lag: SIEM og undirskrift sía í grófum dráttum út hávaðann, gervigreind tekur saman og undirstrikar, sérfræðingur sannreynir og ákveður.
þrjú smámál
Mál 1 — 50.000 línur, 6 mínútur. Sérfræðingur nafnleysir 50.000 línur af aðgangsskrám frá vefþjóni yfir í gervigreind. Gervigreindin dregur þá ályktun að ein ytri IP hafi skriðið / admin leiðir með 12.000 beiðnum á 3 klukkustundum, reynt 480 mismunandi breytur og fengið 200 svör 3 sinnum. Sérfræðingur finnur þessar 3 vel heppnuðu beiðnir í hráefnisskránni, sannreynir að það sé raunveruleg slóðaupptalning árás og lokar á IP. Handlestur 50.000 línur myndi taka klukkustundir; Samantektin stytti það niður í 6 mínútur, en það var ákvörðun sérfræðingsins.
Tilvik 2 — Tilgerðarleg fylgni. Annar sérfræðingur segir gervigreindinni: „lýsið árásarkeðjunni í þessum skrám. Gervigreindin býr til fljótandi sögu: "Klukkan 02:11 hækkaði USER_B réttindi og flutti gögnin út." Sérfræðingur opnar hráan dagbók áður en hann skrifar hann í skýrsluna; en í skránni er hvorki forréttindaaukning né gagnaflutningur - líkanið passar dæmigerða atburðarás inn í „árásarsöguna. Sérfræðingur dregur út kröfuna. Lexía: Sérhver keðja sem gervigreindin segir ætti að vera staðfest í loggbókinni.
Tilfelli 3 — Næturvakt falskt jákvætt. UEBA líkan flaggar notanda sem hefur aðgang að 900 skrám klukkan 3 að morgni sem „háhættulegt frávik“. Sérfræðingur athugar samhengið: notandinn er varastjórnandi og þetta starf keyrir klukkan 03:00 á hverri nóttu; Ekki var horft á grunnlínuna. Viðvörunin er falskt jákvætt. Sérfræðingur setur regluna og bætir þessum rekstraraðila við undantekningarlistann. Frávik er ekki alltaf árás; Án samhengis er viðvörun hávaði.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Skoðaðu þennan log, segðu mér hvort það sé árás.[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]
Þessi vísbending inniheldur raunverulegan IP og notanda (brot á friðhelgi einkalífs), segir ekki frá heimildarskránni og eðlilegri hegðun, biður ekki gervigreindina um sannanir og rangt jákvætt mat. AI getur villt þig með einni setningu, "já, það er árás."
Öflug tilvitnun:
Hlutverk þitt: Aðstoðarmaður SOC sérfræðings sem undirbýr greiningu DRAG. Ekki ákveða, ekki lýsa yfir árás. Þetta er nafnlaus aðgangsskrá vefþjóns (IP-tölur og notendur eru með grímu). Venjuleg umferð: 100-300 beiðnir/klst. á vinnutíma, aðallega /vöru- og /körfuleiðir. Verkefni þitt: (1) klasa atburði eftir tegund og uppruna, gefa upp fjölda atvika, (2) fánamynstur sem víkur frá grunnlínu, (3) sýna fyrir hvern fána hvaða loglínur það er byggt á, (4) skrifa niður líkurnar á falskri jákvæðni fyrir hvern og hvers vegna. Mátun línu/IOC innsetning; Merktu við „[staðfesta greiningaraðila]“ þar sem þú ert ekki viss.[nafnlaus skrá hér]
Hin sterka fullyrðing takmarkar hlutverkið, veitir samhengi og grunnlínu og krefst þátttöku í sönnunargögnum og mati á fölskum jákvæðum.
Afritanleg hvetja sniðmát
Sniðmát fyrir LOGY SAMANTEKT Eftirfarandi nafnlaus [loggheimild: t.d. Taktu saman [eldvegg] annálinn: (1) flokkaðu eftir atburðategundum og gefðu upp fjölda atvika hvers hóps, (2) dragðu út fjölda einstaka uppsprettu/markmiða, (3) komdu á tímalínu (fyrsti síðasti atburður, álagstímar), (4) skráðu 5 áberandi frávik með sönnunarlínu. Ákvarðanataka; bara í stuttu máli. Log: [líma]
Fylgnisniðmát Tengja nafnlausa atburði yfir tíma og einingu og búa til mögulega atburðarás; EN, fyrir hvert skref, tilgreinið hvaða loglínu það er byggt á og merktu skrefið sem á sér enga stoð sem "[enginn grundvöllur - verður að vera staðfestur]". Skrifaðu einnig aðra velviljaða skýringu. Viðburðir: [líma]
FALSK JÁKVÆÐ ÚTRYGGINGARSNIÐMÁT Fyrir þessa viðvörun skaltu búa til að minnsta kosti 3 velviljaðar (falskar jákvæðar) skýringar fyrir árásartúlkunina og skrifa niður hvaða viðbótarskrá/sönnunargögn ég þarf að skoða til að sannreyna hverja og eina. Ákveðið síðan hvaða viðbótarsönnunargögn eru fylgjandi árásinni og hver er á móti henni. Viðvörun: [líma]
TÍMALÍNUÚTTRÁTTARsniðmát: Ein tímalína er dregin út úr þessum nafnlausu annálum: hver lína á sniðinu [tími] [eining] [atburður] [upprunaskrá]. Bætir við atburði án tímastimpils. Ekki bæta upp eyðurnar; Ef vantar, skrifaðu "[vantar]". Logs: [líma]
Algeng mistök
- Greining án samhengis. Athugasemdir sem gerðar eru án þess að minnast á uppruna annálsins og eðlilega hegðun (grunnlína) eru villandi; „frávik“ öðlast merkingu með samhengi.
- Ekki sannreyna keðjuna sem AI hefur stofnað. Líkanið getur tengt venjulega atburði við árásarsögu; Staðfestu hvert skref í hráskránni.
- Að misskilja frávik fyrir árás. Merki UEBA er tilgáta; Eyddu saklausum orsökum eins og öryggisafriti, viðhaldi, nýjum hugbúnaði.
- Flytja út hrá gögn án grímu. Raunverulegur IP/notandi/gestgjafi er bæði KVKK-brot og netkortsgjöf til árásarmannsins.
- Treystu ekki neikvæðu samantektinni og hættu að vafra. Keyrðu þína eigin kerfisbundna fyrirspurn (tegundir mikilvægra atvika, nýjar IOCs) jafnvel þó að gervigreindin segi „ekkert mikilvægt“.
Ábending: Biðjið alltaf um að „sýna sönnunarlínu“ þegar gervigreindin tekur saman skrána. Ekki taka neina niðurstöðu alvarlega án sönnunargagna; Þessi eina regla útilokar flestar ofskynjanir.
Varúð: Að vísa frá SIEM viðvörun bara vegna þess að gervigreindin sagði „falska jákvætt“ gæti verið að hylja raunverulega árás. Athugaðu einnig sjálfstætt viðvörunina sem gervigreind kallar „ómikilvægt“; Lokunarákvörðunin er í eigu sérfræðingsins og er skráð.
Í stuttu máli
Kjarninn í log og SIEM greiningu er að draga raunverulegt merki úr risastórum haug af hávaða. Í þessari flokkun tekur gervigreind saman skráninguna á sekúndum, klasar mynstur, setur tímalínu og undirstrikar grunaðan - en þekkir ekki stofnanasamhengið og getur búið til atburði. Þannig að rétta uppsetningin er lagskipt: reglan/undirskriftin er gróflega sigtuð, gervigreindin dregur saman og flaggar, sérfræðingurinn staðfestir með hráefnisskránni og tekur ákvörðun. Þrjár meginreglur vernda þig: samhengi (ekkert frávik túlkað án grunnlínu), sönnunargögn (hver niðurstaða er bundin við hráa loglínuna), óháð eftirlit (það sem gervigreindin kallar "hreint" svæði er einnig skannað). Og vinna alltaf nafnlaus.
Umsóknarverkefni
Taktu brot úr sýnisbók (annaðhvort nafnlaust úr þínu eigin kerfi eða úr sýnishornsgagnasetti). Fyrst skaltu draga það saman við gervigreind með sniðmátinu „Log Summarization“. Notaðu síðan „False Positive Elimination“ sniðmátið fyrir hverja af þremur athyglisverðustu niðurstöðunum og staðfestu hverja upplifun sjálfan þig í óunnin dagbók. Taktu að lokum eftir mismuninum á samantekt gervigreindarinnar og hráu lestrinum þínum: Hverju saknaði gervigreindin, hvað gerði það að verkum, hvað varð það rétt?
gátlisti
- [ ] Ég nafngreindi skrána; raunverulegur IP / notandi / gestgjafi gríma.
- [ ] Ég gaf gervigreindinni uppsprettu og eðlilegri hegðun (grunnlínu).
- [ ] Ég bað um sönnunarskrárlínu fyrir hverja uppgötvun og staðfesti hana í hráskránni.
- [ ] Ég staðfesti hvert skref í atburðakeðjunni sem gervigreindin stofnaði, og eygði tilbúningnum.
- [ ] Ég íhugaði að minnsta kosti eina ranga jákvæða skýringu fyrir hverja viðvörun.
- [ ] Ég skannaði einnig svæðin sem gervigreindin kallar „hrein/ómikilvæg“.
- [ ] Sem sérfræðingur tók ég ákvörðunina og atviksskrána; Ég skráði gervigreind sem eldsneytisgjöf.