Hagnaður:
- Geta til að skilja að gervigreind dregur saman langar ógnarskýrslur á þremur stigum (stefnumótandi, taktísk, tæknileg) og kortleggur þær við MITER ATT&CK með því að draga út IOC og TTP
- Geta til að sannreyna hverja IOC með núverandi og annarri sjálfstæðri heimild, hverja tækni í ATT&CK og útdráttur tilbúinn IOC/tækni/hóp
- Hæfni til að skilja að hópúthlutun er áhættusamasta fullyrðingin, að nota eigi tungumálið „samhæft við tækni“ í stað „nákvæmrar hóps“ og að vörnin ætti að byggjast á varanlegri TTP ákvörðun.
Öryggishópur einn berst ekki bara við árásirnar sem það sér; lærir með því að deila þekkingu á árásum um allan heim. Threat Intelligence (TI í stuttu máli) er upplýsingum sem safnað er, unnið úr og breytt í aðgerðir um árásarmenn, tækin sem þeir nota, skotmörk þeirra og aðferðir. "Hvaða spilliforrit dreifist núna?", "Hvaða geira miðar þessi árásarhópur á og hvernig virkar hann?", "Hefur þetta IP-tala sést í árás áður?" Svörin við spurningum sem þessum koma frá ógnargreind.
Vandamálið er að ógnunargreind er mikil og dreifð: skýrslur, blogg, straumar, málþing, þúsundir IOCs. Gervigreind er öflug til að gera skilning á þessum stafla: hún tekur saman langar ógnarskýrslur, dregur út skipulögð IOC og TTP úr frásögn af árás, kortleggur þær við MITER ATT&CK rammann og spyr „snertir þetta okkur? undirbýr fyrstu drög að spurningunni. En gervigreind getur misskilið gamla, ónákvæma eða út úr samhengi upplýsingaöflun sem sanna, myndað ógnunarhóp eða IOC sem ekki er til og ekki vitað hvort upplýsingaöflun er raunverulega gild fyrir fyrirtæki þitt. gervigreind tekur saman, byggir upp og kortleggur greind; Það er undir sérfræðingnum komið að setja IOC á bannlista, beita njósnum til stofnunarinnar og lýsa yfir skýrslu „aðgerðahæfa“.
Lög af ógnunargreind
Hugmyndafræði ógnunar er talin á þremur stigum:
- Tæknilegt/rekstrarlegt (IOC stig): Steinsteyptir vísbendingar — slæmar IP-tölur, lén, kjötkássa, vefslóðir. Það er skammvinnt (árásarmaður breytir IP). Gervigreind er fljót að draga þetta úr skýrslunni og skipuleggja þau.
- Taktísk (TTP stig): Hvernig árásarmaðurinn hegðar sér - hvaða tækni, verkfæri, aðferðir hann notar. Það er varanlegra (erfitt er að breyta hegðun). MITER ATT&CK er algengt tungumál á þessu stigi.
- Strategic: Hver er að miða, hvers vegna, hvaða geira, með hvaða tilhneigingu. Það nærir stjórnunarákvarðanir. AI tekur saman langar skýrslur á þessu stigi.
Skilmálar: IOC (Indicator of Compromise — vísbending um brot, áþreifanleg tæknileg ummerki). TTP (Taktík, tækni, verklag — hegðunarmynstur). MITER ATT&CK, númerað, skjalfest bókasafn yfir árásartækni (t.d. T1566 „Phishing“). APT (Advanced Persistent Threat — háþróaður, viðvarandi, oft ríkisstyrktur árásarhópur). Straumur, sjálfkrafa uppfærður IOC straumur. Rangfærsla, að rekja árás á rangan hóp; Það eru algengustu mistök upplýsingaöflunar.
Matsrit fyrir upplýsingaöflun
viðmiðun
spurning til að spyrja
Hvers vegna er það mikilvægt?
Núverandi
Hvenær var hún birt? Er það enn í gildi?
IOCs úreldast fljótt
Áreiðanleiki heimilda
Hver gaf það út, hvert er orðspor þess?
Fullt af fölskum/tilbúnum greindum
Mikilvægi
Snýr það að okkur/iðnaði okkar?
Ekki sérhver ógn er þín ógn
Sannhæfni
Staðfestir önnur heimild þetta?
Ein heimild er ekki nóg
Aðgerðarhæfni
Hvað get ég gert (loka, fylgjast með, hringja)
Þekking verður að breytast í verk
Tilvitnunarnákvæmni
Hversu traust er hópúthlutun?
Misskilningur villandi
þrjú smámál
Mál 1 — Frá 40 síðna skýrslu til aðgerða. Sérfræðingur lætur gervigreindina draga saman 40 blaðsíðna ógnunarskýrslu um nýja lausnarhugbúnaðarherferð. AI minnkar skýrsluna í 1 síðu, dregur út 32 IOC (IP, kjötkássa, lén) og 7 MITER ATT&CK tækni og bendir á "þessi hópur miðar við iðnaðinn þinn." Sérfræðingurinn sannreynir hvert IOC með annarri heimild, bætir þeim 21 sem eru enn í gildi á athugunarlistann, staðfestir ATT&CK tölur tækninnar og þróar það í tilgátu um ógnveiði. Gervigreindin gerði 40 síður vinnsluhæfar; sannprófun og aðgerðir voru greiningaraðilans.
Mál 2 — Samsettur APT hópur. Sérfræðingur spurði gervigreind "hvaða hópur framkvæmdi þessa árás?" spyr hann. AI svarar af öryggi: "Þetta er þekkt tækni 'APT-Dark Eagle' hópsins." Sérfræðingur leitar að þessum hópi í þekktum ógnarleyniþjónustuheimildum - það er enginn slíkur hópur, líkanið bjó til nafnið. Ef hann hefði ekki staðfest það hefði skýrslan farið út með röngum útreikningi. Lexía: hópúthlutun er auðveldasta og áhættusamasta krafan sem hægt er að gera; Það er alltaf sannreynt af þekktum heimildum og er oft vísað til sem "samhæft við eftirfarandi tækni" frekar en "nákvæm tilvísun".
Mál 3 — Fölsk blokkun með gamla IOC. Eitt lið spurði gervigreindina „eigum við ekki að loka á“ lista yfir IP-tölur sem það fékk úr skýrslu fyrir mánuðum síðan? spyr hann; AI segir „já, þeir eru illgjarnir. En sérfræðingur sér að ein af IP-tölvunum tilheyrir nú lögmætum skýjaveitanda (CDN); Að loka fyrir þá IP myndi einnig loka á lögmæta þjónustu sem stofnunin hefur aðgang að. IOCs eru skammlíf. Sérfræðingur sannreynir núverandi og útrýma gamaldags. Lexía: Það fer ekki á bannlista fyrr en IOC hefur staðfest að það sé í gildi.
Veik kvaðning / Sterk kvaðning
Veik kvaðning:
Hver gerði þessa árás og hvaða IP ætti ég að loka? [skýrsla]
Þessi beiðni biður um nákvæma úthlutun og beina lokunarákvörðun frá gervigreindinni, hún biður ekki um tímasetningu og sannprófun, hún er opin fyrir tilbúningi. Gervigreind gæti gefið sannfærandi en ónákvæma úthlutun og úreltan lista IOC.
Öflug tilvitnun:
Hlutverk þitt: Aðstoðarmaður sérfræðingsins sem undirbýr ógnarnjósnir SAMANTEKT og SAMSETNINGAR. Ákvarðanataka; Ekki segja „blokka“, ekki vísa til ákveðinna hópa. Vinnið úr eftirfarandi skýrslu:(1) dragið út 1-síðu samantekt (hver, hvað, markmið, aðferð),(2) skipulagður lista yfir IOCs (IP, lén, kjötkássa, vefslóð); merktu "[núverandi og aukauppspretta verður að vera staðfest]" fyrir hvern; bættu dummy IOC,(3) kortaðu TTP við MITER ATT&CK en merktu við hverja T-tölu "[staðfesta í ATT&CK]",(4) ekki segja "nákvæman hóp" fyrir úthlutun; Notaðu tungumálið "samhæft við þessar aðferðir" og tilgreindu styrk sönnunargagna, (5) skrifaðu spurningar um hvers vegna þessi upplýsingaöflun gæti átt við um iðnaðinn/arkitektúrinn okkar. Skýrsla: [líma]
Sterk krafa biður um samantekt + uppbyggingu, lætur hverja IOC/TTP eftir sannprófun, bannar nákvæma úthlutun, spurningar sem skipta máli.
Afritanleg hvetja sniðmát
SKÝRSLA SAMANTEKT Sniðmát Taktu saman eftirfarandi ógnunarskýrslu á 3 stigum: (1) stefnumótandi (hver, hvers vegna, miða á geira), (2) taktísk (TTP notuð), (3) tæknileg (tegundir IOCs). Ekki fara yfir 1 síðu. Ekki taka með neinar fullyrðingar sem þú hefur ekki fjarlægt úr skýrslunni; tilbúningur. Skýrsla: [líma]
IOC ÚTTRÍKARsniðmát Tekur út skipulögð IOC úr eftirfarandi texta: tegund (IP/lén/hash/URL/email), gildi, samhengi. Taktu aðeins það sem kemur skýrt fram í textanum; mátun. Hakaðu við "[núverandi + aukauppspretta verður að vera staðfest]" fyrir hvern IOC. Staðfestu í töfluformi.Texti: [líma]
ATT&CK MATCHING SAMPLATEM Leggðu hegðunina í árásarfrásögninni við MITER ATT&CK tækni og tækni. Fyrir hverja kortlagningu: hegðunartilvitnun + heiti á tækniaðferð +"[T-númer verður að vera staðfest í ATT&CK]". Ekki gefa upp tilbúna tækni/tölu; ef þú ert ekki viss skaltu skrifa "[óljóst]". Frásögn: [líma]
VIÐMÆTISMATSNIÐMÁT Hjálpaðu mér að meta hvort eftirfarandi ógnunargreind eigi við um samtökin okkar: búa til spurningarnar hvaða eignir okkar passa við tæknina/iðnaðinn sem markmiðið er. Ákvarðanataka; Gefðu mér gátlista. Samantekt upplýsingaöflunar: [líma]
Algeng mistök
- Gerir nákvæma úthlutun hópa. Attribution er erfiðasta og illskiljanlegasta svæðið; Í stað þess að „nákvæmlega sá hópur“ segðu „samhæft við þessar aðferðir“ og staðfestu með heimildinni.
- Loka á IOC án þess að staðfesta gjaldmiðil. IOCs eru skammvinn; Gömul IP gæti nú tilheyrt lögmætri þjónustu, athugaðu fyrst hvort það sé ferskt.
- Að treysta einni heimild. Staðfestu upplýsingaöflun með annarri óháðum heimildarmanni; Það er mikið af fölskum/tilbúnum greindum.
- Ekki efast um mikilvægi. Ekki sérhver ógn er ógn þín; Horfðu á iðnað, tækni og arkitektúr skarast.
- Að búa til IOC/tæknina/hópinn og halda að það sé satt. AI getur aðlagað þau reiprennandi; sannreyna hvern við þekktan uppruna og MITER ATT&CK.
Ábending: Þrálátasta og verðmætasta ógnarnjósnalagið er TTP, ekki IOC. Árásarmaðurinn breytir IP-tölu sinni á einum degi, en það er erfitt að breyta hegðunarmynstri hans (TTP). Byggðu vörn þína á TTP uppgötvun, ekki IOC blokkun.
Varúð: Að setja IOC á blokkunarlistann getur einnig stöðvað lögmæta umferð (falsk jákvæð blokkun). Að beina fingri að hópi eyðir auðlindum ranglega í ranga átt. Vitsmunir eru inntak; Ákvörðun um lokun og úthlutun hvílir á sérfræðingnum eftir staðfestingu.
Í stuttu máli
Ógnanjósnir gera samtökunum kleift að berjast ekki ein heldur með reynslu heimsins; en vegna þess að hún er mörg, sóðaleg og breytileg þarf hún túlkunar. AI dregur saman langar skýrslur á þremur stigum (stefnumótandi, taktísk, tæknileg), dregur út IOC og TTP, kortar til MITER ATT&CK og gefur yfirlit yfir mikilvægi. Stærsta áhættan: samsett IOC/tækni/hópur, nákvæm en röng úthlutun og úrelt IOC. Þess vegna er sérhver IOC staðfest með núverandi og annarri heimild, sérhver tækni er staðfest í ATT&CK; vísað er til á tungumálinu "samhæft við tækni" en ekki "endanlegur hópur"; og ákvörðun um að loka/framfylgja er sérfræðingsins. Hjarta varnarinnar er varanleg TTP uppgötvun, ekki skammvinn IOCs.
Umsóknarverkefni
Fáðu opinbera sýnishótunarskýrslu. Dragðu út samantekt og skipulagðan lista yfir IOC frá gervigreind með sniðmátunum „Report Summarization“ og „IOC Extraction“. Athugaðu gjaldmiðil og áreiðanleika 5 IOCs á þekktri heimild; Reyndu að finna að minnsta kosti eitt úrelt eða vafasamt IOC. Staðfestu T-númer aðferðanna sem gefnar eru út með „ATT&CK Matching“ sniðmátinu á MITER ATT&CK síðunni og náðu fölsku/falsku númeri ef einhver er.
gátlisti
- [ ] Ég tók skýrsluna saman á þremur stigum (strategisk, taktísk, tæknileg).
- [ ] Ég hef staðfest hverja IOC með gjaldmiðli og annarri sjálfstæðri heimild.
- [ ] Ég hef staðfest hverja MITER ATT&CK tækni/brellu í opinberu heimildinni.
- [ ] Ég hef fjallað um hóptilvísunina á tungumálinu „samkvæmt tækni“ frekar en „nákvæmt“.
- [ ] Ég efaðist um mikilvægi upplýsingaöflunar fyrir stofnunina mína (geiri, tækni, byggingarlist).
- [ ] Ég hef athugað hverja fullyrðingu, vitandi að hún gæti verið samsett úr IOC/tækni/hópi.
- [ ] Ég tók þá ákvörðun að loka og innleiða sem sérfræðingur eftir staðfestingu.