Hagnaður:
- Skilningur á því að gervigreind flýtir fyrir viðbrögðum við atvikum með samantekt sönnunargagna, stofnun tímalínu, flokkun á rótum og gerð leikbóka, en ákvörðunin um að einangra/læsa/loka/tilkynna tilheyrir viðurkenndu teymi.
- Geta til að meta innilokunarvalkosti með tilliti til viðskiptaáhrifa og afturkræfni og ekki einangra mikilvæga innviði án þess að mæla áhrif þeirra
- Geta til að skilja að batahraði getur ekki sigrast á varðveislu sönnunargagna (réttarmynd, sönnunarkeðja) og að ekki er hægt að færa réttar skref yfir í gervigreind
Þegar öryggisatvik brotnar upp er tíminn óvinurinn. Þegar lausnarhugbúnaður byrjar að dreifast þýðir það að fleiri vélar eru dulkóðaðar á hverri mínútu; Þegar reikningur hefur verið í hættu grafar árásarmaðurinn dýpra á hverri mínútu. Atviksviðbrögð (IR í stuttu máli) er ferlið við að greina öryggisatvik, takmarka það, þrífa það og koma því aftur í eðlilegt horf. IR krefst þess að ákvarðanir séu teknar undir þrýstingi, með ófullnægjandi upplýsingar og með klukkuna tifarandi; Einmitt þess vegna þarf hún að vera bæði hröð og öguð.
Gervigreind færir IR ómetanlegan hraða: tekur fljótt saman dreifðar vísbendingar (dagskrár, viðvaranir, EDR gögn), setur viðburðartímalínu, telur upp mögulega undirstöðuorsök, framleiðir drög að leikbók (fyrirfram skilgreind skref-fyrir-skref íhlutunarleiðbeiningar) og útlistar skýrsluna eftir inngrip. En mikilvægustu ákvarðanirnar í IR - að einangra kerfi frá netinu, læsa reikningi, loka netþjóni, eyða eða varðveita sönnunargögn - eru ákvarðanir sem geta verið afturkræfar, valdið truflunum á viðskiptum og haft áhrif á réttarfar. Þetta er ekki hægt að framselja til gervigreindar. AI er greiningar- og uppdráttarvél í IR; Ákvörðun um einangrun, læsingu, lokun og tilkynningu tilheyrir þar til bærum viðbragðsteymi.
Stig viðbrögð við atvikum
Algengur rammi í greininni (byggt á NIST) er sex fasar. Á hverju stigi eru hjálp og takmörk gervigreindar mismunandi:
- Undirbúningur: Leikrit, hlutverk, samskiptaáætlun eru tilbúin fyrirfram. Gervigreind hjálpar til við að búa til leikrit og sviðsmyndir – fyrir viðburðinn, frekar en í augnablikinu.
- Greining og greining: Atburðurinn er staðfestur og umfang hans ákvarðað. AI tekur saman sönnunargögnin, setur tímalínu og listar upp tilgátur um rót. Ákvörðunin er í höndum sérfræðingsins.
- Innilokun: Útbreiðsla er stöðvuð (einangrun, læsing reiknings). Þessi mikilvæga ákvörðun tilheyrir mönnum; AI listar aðeins valkosti og áhrif þeirra.
- Útrýming: Illgjarnir reikningar, bakdyrum, reikningum í hættu eru hreinsaðir. AI framleiðir gátlista; framkvæmd og sannprófun eru mannleg.
- Endurheimt: Kerfi eru endurheimt og fylgst með þeim á stýrðan hátt. AI mælir með vöktunaráætlun.
- Lærdómur: Orsök, tímalína, umbætur. gervigreind framleiðir drög að skýrslum og umbótatillögur; Hann er í samþykktarhópnum.
Skilmálar: EDR (Endpoint Detection and Response — hugbúnaður sem keyrir á endapunktum, þ.e. tölvum, og getur greint og brugðist við grunsamlegri hegðun). Orsökin er raunverulegur upphafspunktur atburðarins ("Hvernig komust þeir inn í fyrsta sæti?"). Keðja vörslu er samfelld skráning um hver, hvernig og hvenær réttarfræðilegum sönnunargögnum var safnað; Það er mikilvægt í réttarfarinu. MTTR (Mean Time To Respond) er mælikvarði á frammistöðu IR liðsins.
Tafla ákvörðunarvalds
IR aðgerð
Hlutverk gervigreindar
Hver ræður
Hvers vegna
Samantekt sönnunargagna, tímalína
framleiðandi, eldsneytisgjöf
Sérfræðingur staðfestir
Hætta á ofskynjunum
Tilgáta um rót
Raðari, uppástunga
sérfræðingur
Samhengi og sönnunargögn krafist
Playbook drög (áður)
skissu rafall
Formaður ÍR staðfestir
Nothæfi
Einangraðu kerfið
Listar aðeins yfir valkosti
viðurkenndur sérfræðingur
Viðskiptarof, skil
Lokun reiknings
Gefur áhrifagreiningu
viðurkenndur sérfræðingur
Rang læsing hættir að virka
Eyðing/varðveisla sönnunargagna
Varar, tillögur
IR leiðtogi + lög
Dómsferlið hefur áhrif
Laga-/reglugerðartilkynning
drög að rithöfundi
Lög + stjórnun
Lögfræðileg ábyrgð
þrjú smámál
Mál 1 - Fljótleg samantekt undir þrýstingi. Viðvörun um lausnarhugbúnað kemur inn klukkan 02:40. Sérfræðingur gefur EDR og eldveggsskrám (með nafnlausn) til gervigreindar. gervigreind byggir upp tímalínu á 90 sekúndna fresti: "01:55 phishing viðhengi opnað, 02:10 PowerShell niðurhalað, 02:30 hliðarhreyfing hafin, 3 vélar fyrir áhrifum." Sérfræðingur staðfestir þessa keðju með hráu EDR-skránni, einangrar 3 vélarnar sem verða fyrir áhrifum að eigin vali og stöðvar útbreiðsluna. AI minnkaði 20 mínútur af sönnunargögnum í 90 sekúndur; Sérfræðingur tók ákvörðun um einangrun.
Mál 2 - Röng ráðlegging um einangrun. Í einu tilviki segir gervigreind: „Umferð frá IC_HOST_7 er grunsamleg, einangruð. Sérfræðingur athugar samhengið: IC_HOST_7 er aðal auðkenningarþjónn fyrirtækisins; Ef þeir eru einangraðir hætta allir starfsmenn að fara inn. Þar að auki er ástæðan fyrir umferðinni lögmætt öryggisafrit. Sérfræðingur einangrar ekki, að öðrum kosti fylgist aðeins með grunsamlega hlekknum. Lexía: Ekki er hægt að útfæra ráðleggingar gervigreindar um einangrun án þess að vita hvaða áhrif það hefur á viðskipti; Fyrir mikilvæga innviði er ákvörðunin vandlega mannleg.
Mál 3 - Að eyða sönnunargögnum fyrir slysni. Hópur, sem flýtti sér að þrífa, spurði gervigreindina „hvernig þríf ég þessa vél fljótt? spyr hann; Gervigreind býður upp á að setja kerfið upp aftur. En vélin inniheldur réttar sönnunargögn (minni sorphaugur, árásarverkfæri) sem hefur ekki enn verið safnað; enduruppsetning myndi eyðileggja sönnunarkeðjuna. Háttsettur sérfræðingur tryggir fyrst að myndin (réttarafrit) sé tekin og þrífur hana síðan. Lexía: hraði bata getur ekki trompað varðveislu sönnunargagna; Dómsaðgerðir eru ekki framseldar til gervigreindar.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Það er lausnarárás, hvað ætti ég að gera? Hvaða vélum ætti ég að slökkva á?
Þessi hvetja biður gervigreindina um beina rekstrarákvörðun (hvaða vél á að leggja niður), gefur ekkert samhengi, engin viðskiptaáhrif og engin sönnunargögn. AI gefur almenna eða áhættusama leiðbeiningar; Ef beitt er í blindni hættir vinnan eða sönnunargögn hverfa.
Öflug tilvitnun:
Hlutverk þitt: Aðstoðarmaður sem útvegar GREINING og VALKOSTIR til viðbragðsteymisins. Ekki taka ákvörðun; ekki panta "slökktu/einangraðu þá vél", skráðu bara valkostina og hugsanleg áhrif hvers og eins. Vinndu úr eftirfarandi nafnlausu sönnunargögnum: [EDR/log summary]. Verkefni þitt: (1) smíða líklega tímalínu atburða, sýna hvaða sönnunargögn þú byggir hvert skref á, merktu þann sem er án grundvallar sem "[verður að staðfesta]", (2) skráðu 3 grunnorsök tilgátur, skrifaðu hvernig á að prófa hverja þeirra, (3) skráðu innilokunarvalkosti (einangrun, eftirlit, áhættu af viðskiptalokum/falli) og niðurfærslu; leyfðu mér ákvörðunina,(4) minntu mig á hvaða skref þarf til að varðveita sönnunargögn FYRIR einangrun.
Mikil eftirspurn takmarkar gervigreind sem valmöguleikaveitanda, bindur það við sönnunargögn, leggur áherslu á viðskiptaáhrif og varðveislu sönnunargagna og lætur mönnum ákvörðunina eftir.
Afritanleg hvetja sniðmát
TÍMALÍNA AÐBÆÐI Búðu til tímaröð atburðartímalínu úr þessum nafnlausu IR sönnunargögnum. Hver lína:[tími] [atburður] [uppspretta sönnunargagna]. Að bæta við skrefi án tímastimpils eða sönnunar; merktu auðann sem "[vantar - þarf að sækja]". Ákvörðun/tilmæli, röðun eingöngu byggð á sönnunargögnum. Sönnunargögn: [líma]
RÓTARSTÖÐU TILGÁTTU Sniðmát Búðu til 3-5 líklegast tilgátur um rót fyrir þennan atburð. Fyrir hverja tilgátu: (1) sönnunargögnin sem hún er byggð á, (2) frekari sönnunargögnum sem safna þarf til að staðfesta hana, (3) önnur ummerki sem búist er við ef hún er sönn. Lýstu ekki yfir neinn þeirra viss; Notaðu líkindamál. Samantekt atburðar: [líma]
SAMDRAGNINGSMÖTUN Skráðu innilokunarvalkostina fyrir eftirfarandi aðstæður (einangra / fylgjast með / læsa / hluta). Fyrir HVER valmöguleika: viðskiptaáhrif, erfiðleikar við að skila, áhrif á sönnunargögn, réttaráhætta. Ekki gefa mér skipanir; Ég mun taka ákvörðunina. Það hentar sérstaklega vel ef mikilvægir innviðir (auðkenni, DNS, öryggisafrit) eiga í hlut. Staða: [líma]
PLAYBOOK DRAG SNÁMÁT (undirbúningur fyrir viðburð) Fyrir eftirfarandi atburðarás [t.d. málamiðlun í tölvupósti] skrifaðu skref-fyrir-skref íhlutunarleikbók DRAG: kveikja, hlutverk, innilokun, eyðilegging, bati, samband, tilkynningarskref. Settu "[mannlegt samþykki]" gátmerki við hverja mikilvæga ákvörðun. Drög þessi öðlast ekki gildi nema með samþykki formanns ÍR.
Algeng mistök
- Láttu gervigreind taka rekstrarlegar ákvarðanir. Spurningin „Hvaða vél ætti ég að slökkva á“ tilheyrir teyminu sem þekkir viðskiptaáhrifin, ekki gervigreindinni; AI býður aðeins upp á val og áhrif.
- Að hreinsa upp sönnunargögn án þess að safna þeim. Það er óafturkræft að eyðileggja réttarrannsóknir vegna hraðans; Slepptu mynd og minni fyrir einangrun/hreinsun.
- Flytur tímalínuna inn í skýrsluna án þess að staðfesta hana. gervigreind getur myndað atburðarásina; Staðfestu hvert skref með hráum sönnunargögnum.
- Einangra mikilvæga innviði án þess að hugsa. Einangrun auðkennis, DNS, öryggisafritsþjóns getur stöðvað alla stofnunina; mæla áhrifin fyrst.
- Að skrifa leikbókina í fyrsta skipti þegar atvikið átti sér stað. Leikbók er gerð á undirbúningsstigi; Að reyna að skrifa frá grunni þegar atvikið átti sér stað veldur læti og villum.
Ábending: Í IR, segðu alltaf gervigreindinni "lista valkostina og áhrif þeirra, leyfðu mér að ákveða." Þessi eina setning breytir gervigreindinni úr hættulegum „sjálfstýringu“ í öruggan „ráðgjafa“.
Varúð: Að einangra kerfi, læsa reikningi eða eyða sönnunargögnum getur haft óafturkræfar afleiðingar og haft áhrif á dóms-/réttarfar. Þessar ákvarðanir eru teknar með samþykki viðurkennds viðbragðsteymis og, þegar nauðsyn krefur, lögfræði og stjórnunar; AI framleiðsla er tillaga, ekki pöntun.
Í stuttu máli
Viðbrögð við atvikum krefjast bæði skjótra og agaða ákvarðanatöku undir álagi og með klukkuna tifarandi. Gervigreind eykur þennan hraða til muna með samantekt sönnunargagna, uppbyggingu tímalínu, flokkun undirróta og gerð leikbóka. En mikilvægustu aðgerðir IR – einangrun, lokun reiknings, lokun kerfis, eyðing/varðveisla sönnunargagna, lagaleg tilkynning – eru óafturkræfar ákvarðanir sem leiða til truflana í viðskiptum og lagalegra afleiðinga og ekki er hægt að framselja þær til gervigreindar. Í hverju af sex stigum (undirbúningur, uppgötvun, innilokun, eyðilegging, björgun, kennslustund), framleiðir gervigreind greiningu og teikningu; Ákvörðunin tilheyrir viðurkenndu teymi. Tvær gullnar reglur: hreinsaðu sönnunargögn án þess að varðveita þau, einangra mikilvæga innviði án þess að mæla áhrif þeirra.
Umsóknarverkefni
Veldu atburðarás (t.d. yfirtöku reiknings eftir vefveiðar). Gerðu grein fyrir greiningu frá gervigreind með sniðmátum „Tímalína viðburðar“ og „Root Cause Hypothesis“; Skrifaðu niður sönnunargögnin sem þú munt nota til að sannreyna hvert tímalínuskref. Síðan, með „Takmarkandi valkosti“ sniðmátinu, þegar þú hefur þrjá takmarkandi valkosti skaltu meta viðskiptaáhrif hvers og eins og athugaðu hvern þú myndir velja og hvers vegna (og hvað þú myndir gera fyrst til að varðveita sönnunargögn).
gátlisti
- [ ] Ég takmarkaði gervigreind sem valkost/greiningarþjón; Ég tók rekstrarákvörðunina.
- [ ] Ég sannreyndi hvert skref á tímalínunni með hráum sönnunargögnum, reifaði tilbúninginn.
- [ ] Ég skipulagði sönnunarsöfnunina (mynd, minnishögg) skrefið fyrir einangrun/þrif.
- [ ] Ég mældi fyrst viðskiptaáhrif einangrunar fyrir mikilvæga innviði.
- [ ] Ég hef meðhöndlað rótartilgátur sem möguleika til að prófa, ekki sem endanlegar.
- [ ] Ég útbjó Playbook fyrir viðburðinn og lagði hana fyrir IR leiðtoga til samþykkis.
- [ ] Ég hef innifalið laga-/stjórnsýslusamþykki í þeim tilvikum þar sem lagalegrar tilkynningar er krafist.