Hagnaður:
- Skilja hvernig ógnaveiðar hefjast með tilgátu sem hægt er að prófa, ekki viðvörun, og hvernig gervigreind hjálpar við tilgátugerð og gerð fyrirspurna.
- Hæfni til að beita því að hið gagnstæða/sjaldgæfa merki sem er lögð áhersla á með gervigreind þýðir ekki sjálfkrafa illgjarn ásetning og að tilgátuna verði að staðfesta með hráum sönnunargögnum.
- Geta til að sannreyna MITER ATT&CK tækninúmerin og viðburðaauðkenni sem gervigreind gefur upp við opinbera heimildarmanninn og útrýma tilbúnum tæknilegum upplýsingum
Klassískt öryggiseftirlit virkar með rökfræðinni „bíddu eftir viðvöruninni, líttu þegar hún kemur“. En hættulegustu árásarmennirnir reyna ekki að vekja viðvörun: þeir nota lögmæt verkfæri (þetta er kallað "nýting" - það er að misnota verkfæri sem þegar eru til í kerfinu, eins og PowerShell, WMI), fara hægt og trufla venjulega umferð. Þess vegna fæddist ógnarleit: án þess að bíða eftir viðvörun, "ef það væri ógreindur árásarmaður í fyrirtækinu mínu, hvar væri hann?" Fyrirbyggjandi leit að ummerkjum með spurningunni: Ógnaveiði byrjar með tilgátu, ekki viðvörun.
Gervigreind nýtist mjög vel á tveimur stöðum í ógnarveiðum. Í fyrsta lagi er tilgátugerð: gefðu árásartækni og spyrðu "Ef þessi tækni væri notuð á stofnuninni minni, á hvaða logum og í hvaða mynstri myndi hún skilja eftir sig spor?" þú getur spurt. Annað er merkjaútdráttur: það getur varpa ljósi á hið sjaldgæfa, útúrdúra, „öðruvísi en venjulega“ í stórum gögnum. En gervigreind veit ekki hvað er eðlilegt fyrir fyrirtæki þitt og gæti fallið í þá gryfju að halda að tilgáta sé „sönnuð“. Í ógnarveiðum er gervigreind hugarfélagi og skanni; Veiðimaðurinn (sérfræðingurinn) ákveður hvort bráðin finnur fyrir raunverulegri ógn og hvort það verði tilkynnt um það.
Skref ógnaleitar
- Tilgáta. Áþreifanleg setning sem hægt er að prófa: „Árásarmaður gæti verið að skanna innra netið á verslunartíma með reikningi sem er í hættu.“ Þú getur notað gervigreind til hugarflugs hér.
- Þekkja gagnagjafann. Hvaða log sannar/afsannar tilgátuna? (Til dæmis eldveggs- og DNS-skrár fyrir netskönnun, auðkennisskrár til að auka réttindi.)
- Hannaðu fyrirspurnina. Fyrirspurnin sem mun leita að markmynstrinu (SIEM fyrirspurnartungumál, KQL, SQL-líkt). AI hjálpar við að semja fyrirspurnir; en þú skoðar fyrirspurnina og keyrir hana.
- Dragðu út niðurstöðuna. Síuðu raunverulegt merki frá hundruðum lína. Hér gerir gervigreind þyrping og samantekt.
- Staðfesta eða hafna. Staðfestu með hráum sönnunargögnum og samhengi hvort ummerki sem fannst sé raunverulega illgjarnt eða saklaust.
- Skráðu niðurstöðuna og breyttu henni í ákvörðun. Umbreyttu raunverulegu mynstrinu sem fannst í varanlega greiningarreglu; Ef tilgátan mistókst skaltu skrá það líka (neikvæð niðurstaða er líka upplýsingar).
Skilmálar: TTP (Taktík, tækni, verklag — hegðunarmynstur árásarmanns). MITER ATT&CK er upptalið og skjalfest bókasafn yfir árásartækni (t.d. T1078 „Valid Accounts“); Það veitir sameiginlegt tungumál í ógnarveiðum. IOC (Indicator of Infringement - slæmt IP, hass, lén). Hvítur hávaði (whitelist/known-good) er eðlileg hegðun sem vitað er að fórnar bráð.
Tafla yfir aðferðir við hættuveiði
Nálgun
upphafspunktur
Framlag gervigreindar
Athygli
Tilgátu byggðar veiðar
"Ef það væri svona árásarmaður..."
Tilgátugerð, mynsturlýsing
Tilgáta er ekki sönnun
IOC byggð veiði
Þekktur slæmur vísir
Samsvörun IOCs við annála
Gamalt/rangt IOC villir
TTP/ATT&CK byggðar veiðar
A tækni (T-tala)
Að breyta tækninni í að skrá mynstur
Tækni ≠ eitt mynstur
Veiðar byggðar á frávikum
Tölfræðilegt frávik
Leggðu áherslu á frávikið
Andstæður ≠ vond trú
Stafla tíðnigreining
„Hvað er sjaldgæfast?
Að finna sjaldgæfan atburðinn
Sjaldgæft ≠ hættulegt
þrjú smámál
Tilfelli 1 - Að finna hið sjaldgæfa. Veiðimaður gæti spurt: "Hvaða ferli á innra netinu keyrir á fæstum tölvum en kemur á flestum nettengingum?" setur fram tilgátu sína. Gervigreindin dregur fram mynstur úr nafnlausum vinnslutengingargögnum: ferli sem heitir svchost32.exe, sést á aðeins 2 vélum, er að tengjast 340 mismunandi ytri vistföngum. Veiðimaðurinn skoðar þetta; Það finnur spilliforrit sem líkir eftir lögmætum svchost.exe. AI síaði hið sjaldgæfa; Veiðimaðurinn gerði greiningu og inngrip.
Tilfelli 2 - Misheppnuð (en verðmæt) veiði. Einn veiðimaður spurði "gæti verið að hlaða niður gögnum í fjöldann allan af verslunartíma?" staðfestir tilgátu sína; AI skrifar viðeigandi drög að fyrirspurn. Niðurstaða: 3 notendur hlaðið niður á nóttunni, en allir þrír eru þeir erlendir skrifstofumenn og vinna á vinnutíma vegna tímabeltismismuna. Tilgátan er hrakin. Veiðimaðurinn skráir þetta sem „neikvæða niðurstöðu“ og bendir á þessa 3 notendur sem undantekningar fyrir veiðar í framtíðinni. Jafnvel misheppnuð veiði gerði okkur kleift að kynnast stofnuninni betur.
Mál 3 - Tilgerðarleg tæknigildra. Veiðimaður spyr gervigreind "Hvernig leita ég að T1055 tækninni í fyrirtækinu mínu?" segir. Gervigreindin skrifar sannfærandi fyrirspurn og fullyrðingu um að „T1055 býr til eftirfarandi atburðakenni“; en auðkenni viðburðarins sem hann gaf upp er rangt og líkanið bjó til ATT&CK undirtækni. Avcı opnar MITER ATT&CK færsluna, staðfestir tæknilýsingu og raunverulegar heimildaskrár og leiðréttir rangt atburðakenni. Lexía: Staðfestu öll tæknileg smáatriði sem gervigreind gefur (auðkenni viðburðar, T-númer, annálareit) með opinberri heimild.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Finndu út hvort það er árásarmaður á netinu mínu.
Þessi fullyrðing er tilgátulaus, gagnalaus, ótakmörkuð og ósannanleg. AI framleiðir almennan eða uppbyggðan lista; það er ekkert gagn.
Öflug tilvitnun:
Hlutverk þitt: aðstoðarmaður sem gefur ógnarveiðimanninum hugmyndir og útlínur. Ekki ákveða, ekki segja "það er ógn". Tilgáta mín: "Aðreikningur sem hefur verið í hættu gæti verið að skanna innri höfn á öðrum tímum." Búðu til eftirfarandi: (1) skráðu uppsprettur annála sem munu sanna og AFVITA þessa tilgátu, (2) lýsa áþreifanlegu mynstri sem á að leita að (hvaða reitum, hvaða þröskuldar), (3) skrifaðu drög að dæmifyrirspurn og skrifaðu athugasemd við hverja línu, (4) skrifaðu niður hvaða saklausu skýringar verða eytt í niðurstöðunni. Stingdu upp á viðeigandi MITER ATT&CK tækni, en merktu T-númerið og viðburðaauðkenni sem "[verður að vera staðfest frá MITER]", ekki gera það upp.
Hin sterka fullyrðing byrjar á áþreifanlegri tilgátu, kemur á jafnvægi sönnunargagna/afsannana, lætur útskýra fyrirspurnina og lætur tæknileg smáatriði eftir til sannprófunar.
Afritanleg hvetja sniðmát
TILGJÖGNUNARKYNSLÖÐMÁT Fyrir stofnun mína [eining: t.d. Búðu til prófanlegar tilgátur um ógnarleit í tengslum við [Active Directory / ský / endapunkt]5. Fyrir hverja tilgátu: (1) hvaða hegðun árásarmanna hún miðar á, (2) hvaða skráruppspretta mun veita sönnunargögn/afsönnun, (3) væntanlegt mynstur. Búðu til prófanlegar setningar, ekki almennar.
TÆKNI MYNSTUR MYNSTUR Ég mun leita að eftirfarandi árásartækni í [tækniheiti] stofnuninni minni. Búðu til: (1) trésvæði þar sem tæknin skilur venjulega eftir sig spor, (2) steinsteypt mynstur og þröskulda til að leita að, (3) saklausar (falskar jákvæðar) aðstæður sem gætu kallað fram þetta mynstur. Bjóða viðeigandiMITRE ATT&CK T-númer en með "[Verður að vera staðfest frá MITER]" fána; ekki gefa upp tilbúið viðburðakenni/númer.
Fyrirspurnardrög sniðmát Skrifaðu [SIEM/KQL/SQL] fyrirspurnaruppkast sem leitar að eftirfarandi mynstri: [mynsturlýsing].Skrifaðu athugasemdir við hverja línu, útskýrðu hvaða reit þú ert að sía og hvers vegna, og merktu árangursáhættu. Ég mun fara yfir fyrirspurnina og keyra hana; ekki gera ráð fyrir að þú keyrir það. Skildu eftir reitnöfnin merkt „[rétt í skema]“ samkvæmt því skema sem ég þekki.
NIÐURSTÖÐU ÚTRYGGINGAR sniðmát Niðurstaða veiði minnar skilaði eftirfarandi línum (nafnlaust): [líma]. Hópaðu þá og skrifaðu fyrir hvern hóp (1) illgjarna atburðarás, (2) að minnsta kosti 2 saklausar skýringar og (3) viðbótargögn til að leita að til að greina á milli. Ákvarðanataka; Ekki láta mig skilja þig að. Merktu „[enginn grundvöllur]“ fyrir fullyrðingu sem hefur engar sannanir.
Algeng mistök
- Veiðar án tilgáta. Að segja „finndu eitthvað“ ýtir gervigreindinni til að giska og gera upp; Veiðin hefst á áþreifanlegri, prófanlegri setningu.
- Að misskilja tilgátu fyrir sönnunargögnum. Veiðin prófar möguleika; Ummerki sem fannst er ekki „ógn“ fyrr en það hefur verið staðfest með óunnum sönnunargögnum.
- Lítur sjálfkrafa á hið gagnstæða sem slæmt. Hið sjaldgæfa/útlæga er oft saklaust (viðhald, nýr hugbúnaður, eitt starf); Sigta með samhengi.
- Ekki sannreyna tæknileg smáatriði. AI getur passað við atburðakenni, T-númer og log reit; Staðfestu með MITER ATT&CK og vöruskjölum.
- Að henda sóaða aflanum. Neikvæða niðurstaðan er líka þekking: kynnist skipulaginu betur, dregur úr fölskum jákvæðum framtíðarsýnum; skjal.
Ábending: Góð tilgáta um ógnarleit ætti að vera „prófanleg“: áþreifanleg fullyrðing sem gæti reynst sönn eða röng. "Er eitthvað slæmt í netinu mínu?" ekki hægt að prófa; „Tengdist reikningur X við meira en 50 innri IP-tölur á verslunartímanum? hægt að prófa.
Athugið: Ógnaleit er aðeins gert á kerfum sem þú hefur heimild til að stunda. Að biðja gervigreindina um að „kanna“ aðra stofnun, manneskju eða net sem þú hefur ekki leyfi fyrir er tilraun til að fá óviðkomandi aðgang og er utan þessa einingu.
Í stuttu máli
Ógnaleit er að leita fyrirbyggjandi að ummerkjum um falinn árásarmann án þess að bíða eftir viðvörun, og það byrjar á tilgátu, ekki viðvörun. Gervigreind býður upp á tvö öflug framlög í þessu ferli: að búa til prófanlegar tilgátur og fyrirspurnardrög og sía sjaldgæf/útileg merki úr stórum gögnum. En gervigreind veit ekki hvað er eðlilegt fyrir fyrirtæki þitt, það getur búið til tæknilegar upplýsingar og fallið í þá gryfju að misskilja tilgátu sem sönnunargögn. Þannig að veiðin hefur sex skref (tilgáta, gögn, fyrirspurn, útdráttur, sannprófun, skjal) og í hverju skrefi er ákvörðunin undir veiðimanninum. Mótsögn ≠ slæm, tilgáta ≠ sönnunargögn, tæknileg smáatriði gefin af gervigreind ≠ rétt; allt staðfest með hráum sönnunargögnum og MITER ATT&CK.
Umsóknarverkefni
Fáðu 5 tilgátur um ógnunarleit frá gervigreind með „tilgátugerð“ sniðmátinu fyrir þitt eigið fyrirtæki (eða sýnisumhverfi). Veldu það sem hægt er að prófa, gerðu drög að fyrirspurn með „Mynsturtækni“ og „Query Draft“ sniðmátunum, staðfestu hverja röð í fyrirspurninni og hverja tillögu að T-númeri í MITER ATT&CK. Skrifaðu niður niðurstöðuna (var tilgátan staðfest, afsönnuð, hvað lærðir þú) í stuttri veiðinótu.
gátlisti
- [ ] Ég byrjaði veiði mína með áþreifanlegri, prófanlegri tilgátu.
- [ ] Ég hef bent á heimildaskrá sem mun bæði sanna og afsanna tilgátuna.
- [ ] Ég fór yfir hverja línu í fyrirspurnaruppkastinu og lagaði hana að mínu eigin skema.
- [ ] Ég staðfesti fyrirhugaða MITER ATT&CK tækni og viðburðaauðkenni með opinberri heimild.
- [ ] Ég staðfesti hvert merki með hráum sönnunargögnum og samhengi; Ég taldi hið gagnstæða ekki sjálfkrafa slæmt.
- [ ] Ég skráði líka tilgátuna sem mistókst (neikvæðu niðurstaðan eru upplýsingar).
- [ ] Ég veiddi aðeins á kerfum sem ég hafði leyfi til að veiða.