Guadagni:
- Scopri come la caccia alle minacce inizia con un'ipotesi verificabile, non con un allarme, e come l'intelligenza artificiale aiuta nella generazione di ipotesi e nella stesura di query.
- Capacità di applicare che il segnale contrario/raro evidenziato dall'intelligenza artificiale non significa automaticamente intento doloso, e che l'ipotesi deve essere confermata con prove grezze.
- Capacità di verificare i numeri tecnici MITRE ATT&CK e gli ID evento forniti dall'intelligenza artificiale con la fonte ufficiale ed eliminare dettagli tecnici inventati
Il classico monitoraggio della sicurezza funziona con la logica del "aspetta l'allarme, guarda quando arriva". Ma gli aggressori più pericolosi cercano di non dare allarmi: utilizzano strumenti legittimi (questo si chiama “exploiting”, ovvero abusano di strumenti già esistenti nel sistema, come PowerShell, WMI), si muovono lentamente e interferiscono con il normale traffico. Ecco perché è nata la caccia alle minacce: senza attendere l'allarme, "se nella mia organizzazione ci fosse un aggressore attualmente non rilevato, dove si troverebbe?" Ricerca proattiva di tracce con la domanda: la caccia alla minaccia inizia con un'ipotesi, non con un allarme.
L’intelligenza artificiale è molto utile in due ambiti nella caccia alle minacce. La prima è la generazione di ipotesi: fornire una tecnica di attacco e chiedere "Se questa tecnica fosse utilizzata nella mia istituzione, su quali registri e secondo quale schema lascerebbe traccia?" puoi chiedere. Il secondo è l'estrazione del segnale: può evidenziare ciò che è raro, anomalo, "diverso dal normale" nei big data. Ma l’intelligenza artificiale non sa cosa è normale per la tua organizzazione e potrebbe cadere nella trappola di pensare che un’ipotesi sia “provata”. Nella caccia alle minacce, l’intelligenza artificiale è un partner mentale e uno scanner; Il cacciatore (analista) decide se la preda trova una minaccia reale e se questa verrà segnalata.
Passaggi della caccia alle minacce
- Ipotesi. Una frase concreta e verificabile: "Un utente malintenzionato potrebbe scansionare la rete interna durante gli orari non lavorativi con un account compromesso". Puoi usare l'intelligenza artificiale per il brainstorming qui.
- Identificare l'origine dati. Quale log dimostra/smentisce l'ipotesi? (Ad esempio, log firewall e DNS per la scansione della rete, log di identità per l'escalation dei privilegi.)
- Progettare la query. La query che cercherà il modello target (linguaggio di query SIEM, KQL, simile a SQL). L’intelligenza artificiale aiuta nella stesura delle query; ma rivedi la query ed eseguila.
- Estrai il risultato. Filtra il segnale reale da centinaia di linee in uscita. Qui l'intelligenza artificiale esegue il clustering e il riepilogo.
- Confermare o smentire. Conferma con prove grezze e contesto se la traccia trovata è veramente dannosa o innocente.
- Documentare il risultato e trasformarlo in una determinazione. Convertire il modello effettivo trovato in una regola di rilevamento permanente; Se l'ipotesi fallisce, registra anche quello (anche un risultato negativo è un'informazione).
Termini: TTP (tattiche, tecniche, procedure – modello comportamentale dell'attaccante). MITRE ATT&CK è una libreria enumerata e documentata di tecniche di attacco (ad esempio T1078 “Valid Accounts”); Fornisce un linguaggio comune nella caccia alle minacce. IOC (Indicatore di violazione: IP, hash, dominio errati). Il rumore bianco (whitelist/noto come buono) è un comportamento normale noto per sacrificare la preda.
Tabella degli approcci alla caccia alle minacce
Avvicinamento
punto di partenza
Contributo dell'intelligenza artificiale
Attenzione
Caccia basata su ipotesi
"Se esistesse un simile aggressore..."
Generazione di ipotesi, descrizione di pattern
L'ipotesi non è una prova
Caccia basata sul CIO
Noto cattivo indicatore
Corrispondenza degli IOC ai log
Il CIO vecchio/errato è fuorviante
Caccia basata su TTP/ATT&CK
Una tecnica (numero T)
Conversione della tecnica in modello di registro
Tecnica ≠ disegno singolo
Caccia basata sulle anomalie
Deviazione statistica
Evidenzia il valore anomalo
Contrarian ≠ malafede
Analisi della frequenza dello stack
"Qual è il più raro?"
Trovare l'evento raro
Raro ≠ pericoloso
tre mini custodie
Caso 1 – Trovare il raro. Un cacciatore potrebbe chiedere: "Quale processo della rete interna viene eseguito sul minor numero di computer ma stabilisce il maggior numero di connessioni di rete?" stabilisce la sua ipotesi. L'intelligenza artificiale evidenzia uno schema dai dati di connessione al processo resi anonimi: un processo denominato svchost32.exe, visto solo su 2 macchine, si connette a 340 diversi indirizzi esterni. Il cacciatore lo esamina; Trova un malware che imita il legittimo svchost.exe. L'intelligenza artificiale ha filtrato il raro; Il cacciatore ha fatto la diagnosi e l'intervento.
Caso 2 – La caccia fallita (ma preziosa). Un cacciatore ha chiesto "potrebbe esserci un download di dati di massa durante le ore non lavorative?" stabilisce la sua ipotesi; AI scrive la bozza della query pertinente. Risultato: 3 utenti hanno scaricato di notte, ma tutti e tre sono impiegati all'estero e lavorano durante l'orario lavorativo a causa delle differenze di fuso orario. L'ipotesi è confutata. Il cacciatore documenta questo come un "risultato negativo" e annota questi 3 utenti come eccezioni per le cacce future. Anche la caccia infruttuosa ci ha permesso di conoscere meglio l'istituzione.
Caso 3 – Trappola tecnica artificiosa. Un cacciatore chiede all'AI "Come cerco la tecnica T1055 nella mia organizzazione?" dice. L'intelligenza artificiale scrive una query convincente e afferma che "T1055 genera il seguente ID evento"; ma l'ID evento fornito è sbagliato e il modello costituisce una sotto-tecnica ATT&CK. Avcı apre il record MITRE ATT&CK, conferma la descrizione tecnica e le fonti di log reali e corregge l'ID evento errato. Lezione: verificare ogni dettaglio tecnico fornito dall'IA (ID evento, numero T, campo registro) con la fonte ufficiale.
Prompt debole / Prompt forte
Suggerimento debole:
Scopri se c'è un utente malintenzionato nella mia rete.
Questa affermazione è priva di ipotesi, priva di dati, illimitata e non verificabile. L'intelligenza artificiale produce un elenco generale o inventato; non serve a nulla.
Suggerimento potente:
Il tuo ruolo: assistente che fornisce idee e linee guida al cacciatore di minacce. Non decidere, non dire "c'è una minaccia". La mia ipotesi: "Un account compromesso potrebbe eseguire la scansione delle porte interne durante l'orario non lavorativo." Genera quanto segue: (1) elenca le fonti di log che dimostreranno e DISFUSE questa ipotesi, (2) descrivi il modello concreto da cercare (quali campi, quali soglie), (3) scrivi una bozza di una query di esempio e commenta ogni riga, (4) scrivi quali spiegazioni innocenti verranno eliminate nel risultato risultante. Suggerisci la tecnica MITRE ATT&CK pertinente, ma contrassegna il numero T e l'ID evento come "[deve essere verificato da MITRE]", non inventarlo.
L'affermazione forte inizia con un'ipotesi concreta, stabilisce l'equilibrio tra prova/confutazione, spiega la domanda e lascia i dettagli tecnici alla verifica.
Modelli di prompt copiabili
MODELLO DI GENERAZIONE DI IPOTESIPer la mia istituzione [entità: es. Generare ipotesi di caccia alle minacce verificabili nel contesto di [Active Directory/cloud/endpoint]5. Per ciascuna ipotesi: (1) quale comportamento dell'aggressore prende di mira, (2) quale fonte di log fornirà prove/confutazioni, (3) il modello previsto. Crea frasi verificabili, non generali.
PATTERN DELLA TECNICA PATTERN Cercherò la seguente tecnica di attacco nella mia istituzione [nome della tecnica]. Genera: (1) aree di registro in cui la tecnica tipicamente lascia il segno, (2) modelli concreti e soglie da cercare, (3) situazioni innocenti (falsi positivi) che potrebbero innescare questo modello. Offri il numero T MITRE ATT&CK pertinente ma con il flag "[Deve essere verificato da MITRE]"; non fornire ID/numero di eventi inventati.
MODELLO DI BOZZA DI QUERYScrivi una bozza di query [SIEM/KQL/SQL] che cerchi il seguente modello: [descrizione del modello].Commenta ogni riga, spiega quale campo stai filtrando e perché e contrassegna i rischi per le prestazioni. Esaminerò la query e la eseguirò; non dare per scontato che lo eseguirai. Lasciare i nomi dei campi contrassegnati come "[correggere lo schema]" secondo lo schema che conosco.
RISULTATO ELIMINAZIONE MODELLOIl risultato della mia ricerca ha prodotto le seguenti righe (anonime): [incolla]. Raggruppali e per ciascun gruppo scrivi (1) uno scenario dannoso, (2) almeno 2 spiegazioni innocenti e (3) prove aggiuntive da cercare per differenziare. Il processo decisionale; Non lasciare che ti separi. Contrassegnare "[nessuna base]" per un'affermazione priva di prove.
Errori comuni
- Caccia senza ipotesi. Dire “trova qualcosa” spinge l’IA a indovinare e inventare; La caccia inizia con una frase concreta e verificabile.
- Confondere un'ipotesi con una prova. La caccia mette alla prova una possibilità; La traccia trovata non costituisce una "minaccia" finché non sarà confermata da prove grezze.
- Considerando automaticamente negativo il contrario. Ciò che è raro/anomalo è spesso innocente (manutenzione, nuovo software, lavoro una tantum); Setacciare con il contesto.
- Non verificare i dettagli tecnici. L'intelligenza artificiale può corrispondere all'ID evento, al numero T e al campo del registro; Confermare con MITRE ATT&CK e la documentazione del prodotto.
- Buttare via il pescato sprecato. L'esito negativo è anche conoscenza: conoscere meglio l'organizzazione, riducendo futuri falsi positivi; documento.
Suggerimento: una buona ipotesi di Threat Hunting dovrebbe essere “testabile”: un’affermazione concreta che potrebbe rivelarsi vera o falsa. "C'è qualcosa di brutto nella mia rete?" non può essere testato; "L'account X si è connesso a più di 50 IP interni durante l'orario non lavorativo?" può essere testato.
Attenzione: la caccia alle minacce viene eseguita solo sui sistemi a cui sei autorizzato. Chiedere all'IA di "sondare" un'altra organizzazione, una persona o una rete per la quale non si dispone dell'autorizzazione è un tentativo di ottenere un accesso non autorizzato ed è al di fuori di questo modulo.
In sintesi
Il Threat Hunting consiste nella ricerca proattiva di tracce di un aggressore nascosto senza attendere un allarme e inizia con un’ipotesi, non con un allarme. L’intelligenza artificiale offre due potenti contributi in questo processo: generare ipotesi verificabili e bozze di query e filtrare segnali rari/anomali dai big data. Ma l’intelligenza artificiale non sa cosa è normale per la tua organizzazione, può inventare dettagli tecnici e cadere nella trappola di confondere un’ipotesi con una prova. Quindi la caccia prevede sei passaggi (ipotesi, dati, interrogazione, estrazione, verifica, documento) e in ogni passaggio la decisione spetta al cacciatore. Contrarian ≠ cattivo, ipotesi ≠ prova, dettaglio tecnico fornito dall'IA ≠ corretto; tutto confermato da prove grezze e MITRE ATT&CK.
Compito dell'applicazione
Ottieni 5 ipotesi di caccia alle minacce dall'intelligenza artificiale con il modello "Generazione di ipotesi" per la tua organizzazione (o un ambiente di esempio). Scegli il più testabile, crea una query con i modelli "Pattern Technique" e "Query Draft", convalida ogni riga nella query e ciascun numero T suggerito in MITRE ATT&CK. Annota il risultato (l'ipotesi è stata confermata, smentita, cosa hai imparato) in una breve nota di caccia.
lista di controllo
- [ ] Ho iniziato la mia caccia con un’ipotesi concreta e verificabile.
- [] Ho identificato fonti di log che proveranno e confuteranno l'ipotesi.
- [ ] Ho rivisto ogni riga della bozza della query e l'ho adattata al mio schema.
- [ ] Ho verificato la tecnica MITRE ATT&CK proposta e gli ID degli eventi con la fonte ufficiale.
- [] Ho confermato ogni segnale con prove e contesto grezzi; Non consideravo automaticamente negativo il contrario.
- [ ] Ho documentato anche l'ipotesi fallita (l'esito negativo è informazione).
- [ ] Ho cercato solo sui sistemi per i quali ero autorizzato a cercare.