Flusso di lavoro SOC end-to-end, automazione (SOAR), gestione della qualità e autocontrollo — L'intelligenza artificiale nella sicurezza informatica

Guadagni:

Capacità di progettare un flusso di lavoro SOC end-to-end composto da raccolta, rilevamento, triage, indagine, intervento, miglioramento, reporting e feedback, specificando la posizione dell'intelligenza artificiale e dei cancelli umani
Capacità di separare l'automazione in base al livello di rischio (i passaggi a basso rischio/reversibili sono automatici, i passaggi ad alto rischio/irreversibili sono controllati dall'uomo) e progettare un percorso di rollback per ciascuna azione automatica.
Capacità di stabilire un ciclo di automonitoraggio e feedback che misura regolarmente il tasso di falsi positivi/negativi, MTTD/MTTR, precisione di output e deriva del modello

Quest'ultima unità combina gli elementi appresi separatamente nel corso del modulo (analisi dei log, caccia alle minacce, gestione delle vulnerabilità, risposta agli incidenti, phishing, revisione del codice, intelligence, reporting) in un unico flusso di lavoro end-to-end. In un vero centro operativo di sicurezza (SOC), questi passaggi non sono disconnessi; Un allarme avvia un'indagine, che a sua volta attiva una risposta, che a sua volta attiva una segnalazione, che a sua volta attiva una soluzione. L’intelligenza artificiale è coinvolta in ogni anello di questa catena, ma è l’essere umano a tenere la catena e a prendere decisioni in ogni passaggio critico.

Inoltre, questa unità copre due argomenti critici. Il primo è l’automazione: quando SOAR (Security Orchestration, Automation and Response – la piattaforma che automatizza e organizza i processi di sicurezza) e AI si combinano, aumentano sia la potenza che il rischio; È necessario distinguere tra ciò che può essere automatizzato e ciò che non potrà mai sottrarsi all’approvazione umana. In secondo luogo, gestione della qualità e autoregolamentazione: un’operazione di sicurezza basata sull’intelligenza artificiale non viene avviata e abbandonata una volta; viene costantemente monitorato, misurato, restituito e corretto. L’automazione aumenta la velocità ma non elimina la responsabilità; Un programma di sicurezza rimane sicuro solo attraverso un regolare automonitoraggio.

Flusso di lavoro SOC end-to-end

Vediamo dove entra in gioco l'intelligenza artificiale e chi la approva in un tipico ciclo di vita di un incidente:

Raccolta e monitoraggio: flusso dei log verso SIEM; L'intelligenza artificiale riduce il rumore, riassume. (Automatico, a basso rischio.)
Rilevamento e allarme: regola + anomalia + rilevamento pattern AI. (Produzione automatica; il triage è negli esseri umani.)
Triage: l'allarme è reale o falso positivo? L’intelligenza artificiale suggerisce motivazioni e priorità; conferma l’analista. (Porta umana.)
Indagine: l’intelligenza artificiale raccoglie prove, stabilisce una sequenza temporale, elenca le cause principali; conferma l'analista con prove crude. (Porta umana.)
Intervento: Isolamento, bloccaggio, pulizia. L’intelligenza artificiale fornisce scelta/influenza; La decisione spetta all'analista autorizzato. (Porta umana critica.)
Remediation: chiusura della vulnerabilità, eliminazione della causa principale. Bozza del piano AI; approvazione nella gestione del cambiamento. (Umano + processo.)
Reporting: l’intelligenza artificiale scrive bozze, si adatta al pubblico; L'esperto verifica e firma le prove. (Porta umana.)
Apprendimento delle lezioni e feedback: l'intelligenza artificiale estrae modelli; Aggiorna le regole e i playbook di rilevamento della squadra. (Umano + processo.)

La regola di questa catena: i passaggi a basso rischio, ripetitivi e reversibili possono essere automatizzati; I passaggi ad alto rischio, irreversibili e che richiedono un giudizio passano attraverso la porta umana.

Tabella decisionale dell'automazione

passo

Può essere automatizzato?

condizione

approvazione umana

Raccolta dei log, normalizzazione

Sì, esattamente

—

non necessario

Arricchimento allarmi (ricerca IOC)

Sì

La fonte è affidabile

Viene rivisto

Eliminazione dei falsi positivi (buono noto)

parzialmente

regola severa

Ispezionato mediante campionamento

Metti in quarantena le email di phishing

parzialmente

alta precisione

Revisione + percorso di rollback

Blocca automaticamente un account

attento

Solo criteri chiari

Verifica umana rapida

Isolare il server

Generalmente no

Fatta eccezione per le infrastrutture critiche

Decisione umana forzata

Patching (produzione)

—

Test + gestione del cambiamento

Rapporto/notifica ufficiale

—

Esperto + diritto

Gestione della qualità e autocontrollo

Un’operazione di sicurezza basata sull’intelligenza artificiale è un sistema vivente; le sue prestazioni cambiano nel tempo (nuovi attacchi, cambiamento dell'ambiente, aggiornamenti del modello). Per mantenerlo sicuro è necessaria una misurazione regolare:

Tasso di falsi positivi e falsi negativi: quanto spesso l’intelligenza artificiale lancia allarmi invano, quanto spesso trascura la vera minaccia? I falsi negativi sono particolarmente osservati perché causano silenziosamente danni.
MTTD/MTTR: i tempi medi di rilevamento e risposta stanno migliorando?
Precisione dell'output dell'IA: mediante campionamento, quanti riassunti/risultati/citazioni dell'IA superano la convalida?
Sicurezza dell'automazione: le azioni automatiche funzionano come previsto, ci sono falsi trigger, i rollback funzionano?
Ciclo di feedback: gli eventi effettivi rilevati diventano nuove regole di rilevamento e gli allarmi generati diventano elenchi di eccezioni?

Termini: MTTD (tempo medio di rilevamento). Il ciclo di feedback avviene quando l’operazione impara dai propri risultati e aggiorna le proprie regole. La deriva del modello si verifica quando l'intelligenza artificiale diventa obsoleta e le prestazioni diminuiscono al variare dell'ambiente. L'autocontrollo è la revisione critica e regolare dei processi del team.

tre mini custodie

Caso 1: automazione corretta. Un SOC automatizza la fase di “arricchimento e priorità automatica degli avvisi che corrispondono a IOC dannosi noti e rientrano in una categoria a basso rischio”; ma lascia sempre il passaggio "isolare un server" per l'approvazione umana. Il risultato: gli analisti si liberano da 400 allarmi di routine al giorno, liberando tempo per indagini reali, lasciando le decisioni critiche all’uomo. La parte giusta della catena è automatica, il posto giusto è umano.

Caso 2 – L’automazione fallisce. Un altro SOC definisce la regola del "blocco automatico dell'account in caso di accesso sospetto" in modo molto ampio. Un giorno, a causa di un errore di configurazione, la regola blocca 1.200 utenti legittimi contemporaneamente e il lavoro si interrompe; Inoltre, il percorso di recupero non è definito. Lezione: l’automazione ad alto impatto deve avere criteri rigorosi, implementazione graduale e un percorso di rollback. L’automazione dovrebbe essere reversibile e monitorata attraverso l’autoregolamentazione.

Caso 3 – Lo slittamento colto dall’autocontrollo. Durante un autocontrollo durato tre mesi, un team nota che la precisione di rilevamento del phishing dell'IA diminuisce: una nuova ondata di phishing viene persa perché non si adatta ai vecchi modelli (pattern drift). Il team raccoglie campioni, aggiorna le regole di rilevamento e aggiorna il contesto fornito all'IA. Senza un regolare autocontrollo, questa silenziosa evasione avrebbe potuto continuare per mesi. Lezione: solo perché la prestazione è buona una volta, non sempre rimane buona; la misurazione e il feedback sono essenziali.

Prompt debole / Prompt forte

Suggerimento debole:

Automatizza completamente il nostro SOC e lascia che sia l'intelligenza artificiale a gestire tutto.

Questa richiesta richiede l’automazione senza discriminazione del rischio, ignora le porte umane e non considera il rollback e il controllo. Se implementate, le decisioni ad alto rischio diventeranno automatizzate senza supervisione e si trasformeranno in un disastro al primo errore.

Suggerimento potente:

Il tuo ruolo: Consulente nella progettazione del processo SOC. [Elenca] questi cicli di vita degli eventi si dividono in tre in base al livello di rischio: (A) completamente automatizzato (basso rischio, reversibile, ripetitivo), (B) l'AI consiglia + l'approvazione umana, (C) sempre decisione umana (alto rischio, irreversibile). Suggerire un percorso di rollback obbligatorio e una metrica di monitoraggio per ciascuno (A) e (B). Redigere inoltre una lista di controllo trimestrale di autocontrollo: tasso di falsi positivi/negativi, MTTD/MTTR, campionamento dell'accuratezza dell'output dell'IA, segni di deriva del modello.

La forte domanda separa l’automazione in base al livello di rischio, richiede rollback e monitoraggio e stabilisce un quadro di autoregolamentazione.

Modelli di prompt copiabili

MODELLO DI SEPARAZIONE DEL RISCHIO DI AUTOMAZIONE Separare questi passaggi del flusso di lavoro di sicurezza in tre: (A) completamente automatizzato appropriato, (B) consiglia l'approvazione umana, (C) decisione sempre umana. Scrivi la giustificazione, la reversibilità e l'impatto aziendale per ogni passaggio. Consigliare il percorso di rollback obbligatorio per i passaggi ad alto impatto. Passaggi: [elenco]

MODELLO DI PROGETTAZIONE ROLLBACK per azione automatica [ad es. blocco dell'account] propongono una progettazione sicura: criteri di attivazione (ristretti), implementazione graduale, fase di rollback del falso trigger, avviso e punto di verifica umana. Design per evitare l'automazione delle tende. Azione: [scrivi]

MODELLO DI CHECKLIST DI AUTO-AUDIT Redigere una lista di controllo di auto-audit trimestrale per un SOC basato sull'intelligenza artificiale: tasso di falsi positivi/negativi, bias MTTD/MTTR, campionamento della precisione dell'output dell'IA, falsi trigger di automazione, segni di deriva del modello, funzionamento del ciclo di feedback, conformità alla privacy/anonimizzazione. Per ogni articolo, scrivi come verrà misurato.

MODELLO DI FEEDBACK LOOP Disegna ciò che viene appreso dall'evento/allarme effettivo che fallisce: (1) il modello che diventerà una nuova regola di rilevamento, (2) il falso positivo che verrà aggiunto all'elenco delle eccezioni, (3) il passaggio del playbook che verrà aggiornato, (4) il nuovo contesto che verrà fornito all'IA. Riepilogo eventi/allarmi: [incolla]

Errori comuni

Automatizzare la fase ad alto rischio. I passaggi irreversibili come l'isolamento del server, l'applicazione di patch alla produzione, la notifica ufficiale non vengono rimossi dalla porta umana.
Non escogitare un percorso per il recupero. È possibile che qualsiasi azione automatica venga attivata in modo errato; L'automazione senza un punto di annullamento e conferma è pericolosa.
Imposta e dimentica. Le prestazioni dell’intelligenza artificiale cambiano man mano che cambia l’ambiente; Senza un regolare automonitoraggio e misurazione, si accumulano evasioni silenziose.
Sto solo monitorando il falso positivo. Un falso negativo (la vera minaccia che non viene colta) è più pericoloso ma più difficile da vedere; Guardalo in privato.
Trascurare il feedback. Se gli eventi rilevati non si trasformano in una nuova regola e gli allarmi falliti non si trasformano in un'eccezione, l'operazione non apprende e ripete lo stesso errore.

Suggerimento: la domanda d'oro nelle decisioni sull'automazione: "Questa azione può essere annullata se attivata in modo errato e qual è l'impatto sul business?" Se la risposta è “facilmente annullabile, a basso impatto”, automatizza; Se "irreversibile o ad alto impatto" restare alla porta umana.

Attenzione: l'automazione non elimina la responsabilità, la accelera solo. Un’azione automatica mal concepita provoca danni molto più velocemente e in modo più ampio di quanto potrebbe fare un essere umano. Ogni automazione è circondata da criteri ristretti, percorso di ripristino e ispezione regolare; La responsabilità ultima spetta sempre all’essere umano.

In sintesi

Questa unità ha combinato tutte le parti del modulo in un flusso di lavoro SOC end-to-end: raccolta, rilevamento, triage, indagine, risposta, correzione, reporting e feedback. L’intelligenza artificiale è coinvolta in ogni anello, ma è l’essere umano a tenere la catena e a prendere decisioni in ogni passaggio critico. L'automazione (SOAR + AI) aumenta la potenza; La regola è chiara: i passaggi a basso rischio, reversibili e ripetitivi diventano automatizzati, i passaggi irreversibili ad alto rischio passano attraverso la porta umana e ogni automazione ha un modo per annullarsi. Infine, è attivo un programma di sicurezza basato sull'intelligenza artificiale: falsi positivi/negativi, MTTD/MTTR, precisione dell'output e deriva del modello vengono misurati regolarmente; Ciò che viene trovato si trasforma in regole e manuali in un ciclo di feedback. L’automazione accelera la responsabilità, non la rimuove; L’autocontrollo mantiene viva la sicurezza.

Compito dell'applicazione

Scrivi il ciclo di vita dell'incidente della tua organizzazione (o un SOC di esempio). Classificare ogni passaggio come A/B/C con il modello "Separazione dei rischi di automazione" e ricavare un progetto di automazione sicuro con il modello "Rollback Design" per almeno un passaggio ad "alto impatto". Quindi crea una lista di controllo trimestrale con il modello "Lista di controllo di autocontrollo" e determina come misurerai ciascuna metrica nel tuo ambiente.

lista di controllo

[ ] Ho suddiviso ogni fase del ciclo di vita dell'incidente in classi di rischio A/B/C.
[] Ho mantenuto passaggi ad alto rischio e irreversibili davanti alla porta umana.
[ ] Ho progettato criteri ristretti e percorsi di annullamento per ogni azione automatica.
[ ] Ho pianificato di monitorare il tasso di falsi positivi e soprattutto di falsi negativi.
[ ] Avevo pianificato di misurare regolarmente l'MTTD/MTTR e la precisione dell'output AI.
[ ] Ho stabilito una lista di controllo trimestrale per l'automonitoraggio della deriva del modello.
[ ] Ho collegato gli eventi trovati e lanciato gli allarmi al ciclo di feedback.

Esame del modulo

1. Un'IA di triage SIEM ha contrassegnato un allarme come "a bassa priorità, probabile falso positivo" e lo ha inserito in fondo all'elenco. Cosa dovrebbe fare l’analista riguardo a questo allarme?

A) Still controlla autonomamente l'allarme e lo verifica con evidenza cruda; L'analista prende la decisione di chiusura e la registra ✔
B) L'intelligenza artificiale spegne automaticamente l'allarme senza esaminarlo perché dice che ha priorità bassa.
C) Trasferisce l'allarme al turno successivo così com'è.
D) Basta guardare la sintesi fornita dall'intelligenza artificiale e passare il report

Spiegazione: la definizione delle priorità dell'IA è una raccomandazione, non una diagnosi; Il flag di "bassa priorità" può coprire un attacco reale (falso negativo). L'analista deve comunque controllare in modo indipendente l'avviso, verificarlo con prove grezze e prendere la decisione di chiuderlo lui stesso. Un output negativo dell’IA non è garanzia di “nessuna minaccia”.

2. Quale combinazione di rischi fa sì che l'IA etichetta un attacco reale come "normale" e che l'analista si fidi di questo e allenti la propria analisi?

A) Solo falsi positivi e allarme fatica
B) Falsi negativi e bias di automazione (eccessiva dipendenza dall'intelligenza artificiale) ✔
C) Mancanza solo della fonte del log
D) Solo errore regola SIEM

Spiegazione: è un falso negativo se il modello non coglie la minaccia reale; Il bias dell’automazione si verifica quando l’analista si fida eccessivamente dell’intelligenza artificiale e abbandona la revisione indipendente. Quando i due si combinano, la ragion d'essere del controllo umano scompare e l'attacco può essere completamente aggirato. Per questo vengono esaminate anche le aree che l'intelligenza artificiale definisce “pulite”.

3. L'IA ha detto "CVE-2024-88888, CVSS 9.8, patch immediatamente" durante un triage. Cosa dovrebbe fare prima l’analista?

A) Considera il CVE affidabile e avvia immediatamente il piano di applicazione delle patch
B) Solo perché CVSS è 9.8, lo mette al primo posto senza considerare altre vulnerabilità
C) Verifica il numero CVE e il punteggio nella scheda NVD/venditore; ✔ Se non è presente alcun record, non verrà elencato sapendo che potrebbe essere falso.
D) Senza verificare il CVE, l'amministratore lo scrive nella segnalazione come 'minaccia critica'

Descrizione: i modelli linguistici possono adattarsi fluentemente a un numero e un punteggio CVE inesistente (allucinazioni). L'analista deve verificare il CVE nel registro NVD/fornitore e confermarne l'autenticità e il punteggio prima di impegnarsi nel programma di applicazione delle patch. Un CVE non verificato si connette prima alla risorsa; Altrimenti il team perderà tempo a rincorrere una patch che non esiste.

4. Per accelerare l'indagine sull'incidente, un esperto incolla il registro grezzo del firewall insieme agli IP interni, ai nomi utente e ai nomi dei server VPN effettivi in uno strumento AI disponibile pubblicamente. Qual è il problema principale qui?

R) L'intelligenza artificiale non può leggere il formato del registro, quindi l'analisi è inutile
B) Se il log è troppo lungo rallenta il modello.
C) I log del firewall non sono comunque adatti per l'analisi
D) IP reale, nomi utente e server sono condivisi senza anonimizzazione; Questa è sia una violazione del KVKK che una fuga di notizie dalla mappa della rete dell'organizzazione ✔

Descrizione: I dati di sicurezza sono sia dati personali (utente, IP) sia informazioni aziendali che rivelano la superficie di attacco dell'organizzazione (topologia di rete, nomi di server). Dare questo a uno strumento esterno senza anonimizzare è sia una violazione di KVKK che rivela una mappa di rete che sarà utile all'aggressore. Innanzitutto, i valori effettivi vengono mascherati con segnaposto coerenti.

5. Cosa rende una caccia alle minacce considerata ben progettata?

A) Si parte da un'ipotesi concreta e verificabile e la traccia trovata è confermata da evidenze crude ✔
B) Inizia dicendo all'intelligenza artificiale "trova se c'è un aggressore nella mia rete"
C) Dichiara automaticamente ogni evento anomalo/raro riscontrato come un attacco
D) Funziona solo quando arriva un allarme, non è proattivo

Spiegazione: una buona caccia alle minacce non inizia con un allarme, ma con un'ipotesi concreta e verificabile che può rivelarsi vera o meno (ad esempio "L'account X si è connesso a più di 50 IP interni durante l'orario non lavorativo"). Una domanda vaga come "C'è qualcosa di brutto sulla mia rete" non può essere testata e lascia l'IA perplessa. La traccia ritrovata non è considerata una minaccia finché non viene verificata con prove grezze.

6. Una vulnerabilità ha un punteggio CVSS di 9,1 su un server di test isolato sulla rete interna; Nella stessa lista, CVSS 7.5 su un server aperto su Internet, ma c'è un'altra vulnerabilità nell'elenco KEV (che in realtà viene sfruttata). Qual è la corretta definizione delle priorità?

R) Quello con il CVSS più alto (9.1) viene sempre patchato per primo
B) La vulnerabilità di 7.5 su Internet e l'elenco KEV viene portata avanti; Il CVSS non è l'unico criterio, l'esposizione e l'abuso effettivo sono decisivi ✔
C) Entrambi vengono patchati contemporaneamente e con la stessa priorità, non è necessaria alcuna distinzione
D) A nessuno di essi è stata applicata la patch perché esiste una vulnerabilità nel server di test

Spiegazione: CVSS non stabilisce da solo le priorità; il rischio effettivo è determinato da EPSS (probabilità di sfruttamento), KEV (sfruttamento effettivo) e contesto organizzativo (esposizione, criticità, controllo compensativo). La vulnerabilità Internet esposta e effettivamente sfruttata (KEV) previene la vulnerabilità isolata e a bassa probabilità ad alto CVSS.

7. In una risposta all'incidente, l'intelligenza artificiale dice "Il traffico proveniente da IC_HOST_7 è sospetto, isola questo server". IC_HOST_7 è il server di autenticazione principale dell'istituzione. Cosa dovrebbe fare l’analista?

R) L'intelligenza artificiale isola subito il server perché lo dice lei
B) Lascia la decisione di isolamento interamente all’intelligenza artificiale
C) Valutare innanzitutto l'impatto aziendale e la causa del traffico; Non isola le infrastrutture critiche senza misurarne l'impatto e prende la decisione come analista ✔
D) Isola il server e quindi elimina tutti i registri

Descrizione: L'isolamento è una decisione critica difficile da revocare e che può portare all'interruzione dell'attività; non possono essere trasferiti all’intelligenza artificiale. L'isolamento del server di autenticazione può impedire a tutti i dipendenti di accedere. L'analista deve prima valutare l'impatto aziendale e la causa del traffico (potrebbe trattarsi di una transazione legittima) e prendere lui stesso la decisione; Il suggerimento dell’intelligenza artificiale non dovrebbe essere attuato come un ordine.

8. In un incidente ransomware, il team vuole ricostruire una macchina colpita per ripulirla rapidamente; ma sulla macchina sono presenti prove forensi (dump della memoria, strumenti di aggressori) che non sono state ancora raccolte. Qual è l'approccio giusto?

A) La macchina viene immediatamente reinstallata; le prove sono irrilevanti
B) All'intelligenza artificiale viene richiesta la "pulizia più rapida" e le istruzioni vengono applicate alla cieca.
C) La macchina viene spenta e buttata perché la prova è già nel registro.
D) Innanzitutto vengono acquisite l'immagine forense e il dump della memoria e le prove vengono conservate, quindi viene eseguita la pulizia/recupero ✔

Spiegazione: la velocità del recupero non può prevalere sulla conservazione delle prove. Reinstallare la macchina senza raccogliere prove distrugge la catena di custodia e paralizza il processo giudiziario. Innanzitutto vengono acquisiti un'immagine forense e un dump della memoria, quindi viene eseguita la pulizia/ripristino. Le fasi forensi non sono delegate all’intelligenza artificiale.

9. Qual è uno dei livelli di verifica tecnica più affidabili quando si analizza un'e-mail sospetta di phishing e come dovrebbe essere confermato?

A) Risultati SPF/DKIM/DMARC nelle intestazioni delle email; Confermato dal titolo grezzo, non dal riassunto dell'AI ✔
B) Colore e carattere dell'e-mail; deciso dal design visivo
C) Fare clic sul collegamento sospetto nel sistema live e guardare la pagina che si apre.
D) L'intelligenza artificiale che afferma che il solo "phishing" è una prova sufficiente

Spiegazione: i risultati SPF/DKIM/DMARC nelle intestazioni delle e-mail sono forti indicatori del fatto che l'e-mail provenga effettivamente dal dominio a cui dichiara; Se tutti e tre falliscono e il mittente falsifica il dominio, i sospetti diventano più forti. Questo però dovrebbe essere confermato dal titolo grezzo e non dal riassunto dell'AI. Inoltre, i collegamenti sospetti non vengono mai cliccati sul sistema live.

10. In una revisione del codice, l'intelligenza artificiale ha suggerito una correzione per una vulnerabilità XSS e ha affermato che "chiude la vulnerabilità". Cosa dovrebbe fare l'analista/sviluppatore?

A) Considera affidabile la correzione e la mette direttamente in produzione
B) Esamina la correzione, conferma che chiude effettivamente la vulnerabilità e non introduce nuove vulnerabilità/bug e scrive un test; Solo allora viene depositato ✔
C) Poiché non è sicuro, riscrive l'intero file nell'intelligenza artificiale e lo utilizza.
D) Applica la correzione ma passa senza scrivere alcun test

Spiegazione: la soluzione suggerita dall'IA non è automaticamente sicura; Potrebbe non chiudere completamente la vulnerabilità, potrebbe ripulire il livello sbagliato o potrebbe introdurre una nuova vulnerabilità/errore funzionale. Ogni patch viene rivista, valutata se effettivamente chiude la vulnerabilità e se introduce nuovi problemi, e vengono scritti test case positivi e negativi; Solo allora entra nel magazzino.

11. Analizzando un attacco, l'intelligenza artificiale ha detto "questo è sicuramente opera del gruppo APT-Dark Eagle". Qual è l’approccio giusto in termini di threat intelligence?

A) Accettare la denuncia così com'è e scriverla nella denuncia come 'autore accertato'
B) Costruisce tutta la sua difesa basandosi su quel gruppo senza mai mettere in discussione il nome del gruppo.
C) Utilizza un linguaggio "coerente con le tecniche" piuttosto che un'attribuzione precisa, verifica il gruppo nelle fonti conosciute e tiene conto della possibilità di fabbricazione ✔
D) La citazione è sempre superflua, non viene affatto presa in considerazione

Spiegazione: l'attribuzione di gruppo è l'area dell'intelligence più difficile e più imprecisa; L'intelligenza artificiale può persino inventare il nome di una band che non esiste. Invece di un riferimento esatto, viene utilizzato il linguaggio "compatibile con queste tecniche" e il nome del gruppo è confermato in fonti di intelligence conosciute. Inoltre, la difesa non si basa su IOC di breve durata ma sul rilevamento TTP permanente.

12. In una bozza del rapporto sull'incidente, l'IA ha scritto la frase "molto probabilmente l'aggressore è rimasto all'interno per tre settimane e ha esfiltrato i dati dei clienti"; considerando che non esistono prove di registro conclusive a sostegno di queste affermazioni. Cosa dovrebbe fare l’analista?

A) Lascia la frase così com'è perché è drammatica e impressionante
B) Lascia la frase ma aggiunge alla fine "l'intelligenza artificiale ha scritto".
C) Ristampa l'intero verbale all'intelligenza artificiale e lo firma senza verificarlo.
D) Corregge le affermazioni sulla base delle prove; Fa la distinzione tra 'possibile/comprovato/in corso di indagine' ed estrae la dichiarazione definitiva senza prove ✔

Commento: in un rapporto formale sulla sicurezza, ogni affermazione dovrebbe essere motivata e "probabile" non dovrebbe mai essere confuso con "provato". Una richiesta senza prove ha conseguenze legali, finanziarie e reputazionali. L'analista dovrebbe correggere la frase in base alle prove (ad esempio, scrivere la data del primo accesso rilevato e dire "nessuna prova conclusiva trovata, indagini in corso" per la fuga di dati).

13. Un manager vuole profilare tutta l'attività di un dipendente dai registri di sicurezza con intelligenza artificiale per capire se è "fedele" o meno. Cosa dovrebbe fare un professionista della sicurezza?

A) Rifiuta la richiesta e la indirizza al canale appropriato (risorse umane/legale/investigazione definita); i dati di sicurezza non sono uno strumento di sorveglianza personale ✔
B) Crea e consegna il profilo perché il gestore lo richiede
C) Estrae solo alcuni log e fornisce un profilo parziale
D) Far creare il profilo dall'intelligenza artificiale perché la responsabilità passa all'intelligenza artificiale

Descrizione: I dati di sicurezza sono raccolti per scopi di sicurezza; Tracciare/profilare una persona è un abuso, si trasforma in sorveglianza personale e viola la KVKK. L'esperto dovrebbe respingere questa richiesta e indirizzarla al canale appropriato (risorse umane, legale, un quadro investigativo definito e legittimo). La buona volontà o la volontà del manager non giustificano questo limite.

14. Un SOC decide quali passaggi del flusso di lavoro di sicurezza automatizzare. Qual è il principio migliore per l’automazione?

R) Le decisioni a rischio più elevato dovrebbero essere automatizzate per prime, in modo che non vi sia alcun coinvolgimento umano
B) Le fasi a basso rischio/reversibili sono automatizzate; Rimangono passaggi ad alto rischio/irreversibili davanti alla porta umana e ogni automazione ha un modo per annullarli ✔
C) Tutti i SOC dovrebbero essere completamente automatizzati e l'autocontrollo non è necessario
D) Non è necessario annullare le azioni automatizzate perché l'IA non commette errori

Spiegazione: i passaggi a basso rischio, ripetitivi e reversibili (raccolta dei registri, arricchimento degli allarmi) possono essere automatizzati; Le fasi ad alto rischio, irreversibili e che richiedono un giudizio (isolamento del server, patch di produzione, notifica ufficiale) passano attraverso la porta umana. Inoltre, ogni azione automatica deve avere criteri ristretti e un modo per annullare. L'automazione non elimina la responsabilità, la accelera soltanto.