Guadagni:
- Capacità di comprendere che l'intelligenza artificiale riassume lunghi rapporti sulle minacce a tre livelli (strategico, tattico, tecnico) e li mappa su MITRE ATT&CK estraendo IOC e TTP
- Capacità di verificare ciascun IOC con la corrente e una seconda fonte indipendente, ciascuna tecnica in ATT&CK ed estrarre IOC/tecnica/gruppo fabbricati
- Capacità di comprendere che l'attribuzione di gruppo è l'affermazione più rischiosa, che si dovrebbe usare il linguaggio “compatibile con le tecniche” invece di “gruppo esatto” e che la difesa dovrebbe basarsi su una determinazione permanente del TTP.
Un team di sicurezza da solo non si limita a combattere gli attacchi che vede; apprende condividendo la conoscenza degli attacchi in tutto il mondo. La Threat Intelligence (in breve TI) è costituita dalle informazioni raccolte, elaborate e trasformate in azioni sugli aggressori, sugli strumenti che utilizzano, sui loro obiettivi e metodi. "Quale malware si sta diffondendo adesso?", "Quale settore prende di mira questo gruppo di aggressori e come agisce?", "Questo indirizzo IP è già stato visto in un attacco?" Le risposte a domande come queste provengono dall’intelligence sulle minacce.
Il problema è che l’intelligence sulle minacce è abbondante e dispersa: rapporti, blog, feed, forum, migliaia di IOC. L'intelligenza artificiale è potente nel dare un senso a questo stack: riassume lunghi report sulle minacce, estrae IOC e TTP strutturati dalla narrazione di un attacco, li mappa nel framework MITRE ATT&CK e chiede "questo ci preoccupa?" prepara la prima bozza dell'interrogazione. Ma l’intelligenza artificiale può scambiare per vere informazioni vecchie, imprecise o fuori contesto, creare un gruppo di minacce o un CIO inesistente e non sapere se l’intelligence è veramente valida per la tua organizzazione. L’intelligenza artificiale riassume, struttura e mappa l’intelligenza; Spetta all’analista inserire nella lista nera un CIO, applicare l’intelligence all’agenzia e dichiarare un rapporto “applicabile”.
Livelli di intelligence sulle minacce
L'intelligence sulle minacce viene considerata a tre livelli:
- Tecnico/operativo (livello CIO): indicatori concreti: IP, domini, hash, URL errati. È di breve durata (l'attaccante cambia IP). L’intelligenza artificiale è rapida nell’estrarli dal report e nel strutturarli.
- Tattico (livello TTP): come si comporta l'aggressore: quali tecniche, strumenti, metodi utilizza. È più permanente (il comportamento è difficile da cambiare). MITRE ATT&CK è il linguaggio comune di questo livello.
- Strategico: chi si rivolge, perché, quale settore, con quale tendenza. Alimenta le decisioni gestionali. L'intelligenza artificiale riassume i report lunghi a questo livello.
Termini: CIO (Indicatore di Compromesso – indicatore di violazione, traccia tecnica concreta). TTP (Tattiche, Tecniche, Procedure – modello comportamentale). MITRE ATT&CK, una libreria numerata e documentata di tecniche di attacco (ad esempio T1566 "Phishing"). APT (Advanced Persistent Threat: gruppo di aggressori avanzato, persistente, spesso sponsorizzato dallo stato). Feed, flusso IOC aggiornato automaticamente. Attribuzione errata, attribuzione di un attacco al gruppo sbagliato; È l’errore più comune dell’intelligenza.
Grafico di valutazione delle fonti di intelligence
criterio
domanda da porre
Perché è importante?
Attualità
Quando è stato pubblicato? È ancora valido?
I CIO diventano rapidamente obsoleti
Affidabilità della fonte
Chi lo ha pubblicato, qual è la sua reputazione?
Molta intelligenza falsa/fabbricata
Rilevanza
È rivolto a noi/al nostro settore?
Non tutte le minacce sono la tua minaccia
Verificabilità
Una seconda fonte lo conferma?
Una sola fonte non è sufficiente
Azionabilità
Cosa posso fare (bloccare, tracciare, chiamare)
La conoscenza deve trasformarsi in azione
Precisione della citazione
Quanto è solida l'attribuzione di gruppo?
L'attribuzione errata è fuorviante
tre mini custodie
Caso 1 – Dal rapporto di 40 pagine all’azione. Un analista chiede all'intelligenza artificiale di riassumere un rapporto sulle minacce di 40 pagine su una nuova campagna ransomware. L'intelligenza artificiale riduce il rapporto a 1 pagina, estrae 32 IOC (IP, hash, dominio) e 7 tecniche MITRE ATT&CK e nota che "questo gruppo prende di mira il tuo settore". L'analista verifica ciascuno dei CIO con una seconda fonte, aggiunge i 21 ancora validi alla watch list, conferma i numeri ATT&CK delle tecniche e lo sviluppa in un'ipotesi di caccia alla minaccia. L’intelligenza artificiale ha reso elaborabili 40 pagine; la verifica e l'azione spettavano all'analista.
Caso 2 — Gruppo APT costituito. Un analista ha chiesto ad AI "quale gruppo ha effettuato questo attacco?" chiede. L'IA risponde con sicurezza: "Questa è la tecnica conosciuta del gruppo 'APT-Dark Eagle'." L'analista cerca questo gruppo nelle fonti note di intelligence sulle minacce: non esiste un gruppo del genere, il modello ha inventato il nome. Se non lo avesse confermato, la perizia sarebbe uscita con un'attribuzione errata. Lezione: l'attribuzione di gruppo è l'affermazione più semplice e rischiosa da fare; Viene sempre verificato da una fonte nota e viene spesso definito "compatibile con le seguenti tecniche" piuttosto che "attribuzione esatta".
Caso 3 – Falso blocco con il vecchio CIO. Un team ha chiesto all'IA "non dovremmo bloccare" un elenco di IP ricevuti da un rapporto mesi fa? chiede; L’intelligenza artificiale dice “sì, sono dannosi”. Ma l’analista vede che uno degli IP appartiene ora a un fornitore cloud legittimo (CDN); Il blocco di tale IP interromperebbe anche i servizi legittimi a cui accede l’organizzazione. I CIO hanno vita breve. L'analista verifica l'attualità ed elimina quelli obsoleti. Lezione: non viene inserito nella blocklist finché il CIO non ne verifica l'attualità.
Prompt debole / Prompt forte
Suggerimento debole:
Chi ha effettuato questo attacco e quali IP dovrei bloccare? [rapporto]
Questa richiesta richiede un’attribuzione precisa e una decisione di blocco diretto da parte dell’IA, non richiede tempestività e verifica, è aperta alla falsificazione. L'intelligenza artificiale può fornire un'attribuzione convincente ma imprecisa e un elenco CIO obsoleto.
Suggerimento potente:
Il tuo ruolo: assistente dell'analista che prepara il SOMMARIO e la CONFIGURAZIONE dell'intelligence sulle minacce. Il processo decisionale; Non dire "blocca", non fare riferimenti specifici al gruppo. Elabora il seguente report: (1) estrai un riepilogo di 1 pagina (chi, cosa, target, metodo), (2) elenco strutturato di IOC (IP, dominio, hash, URL); contrassegnare "[attualità e fonte secondaria devono essere verificate]" per ciascuno; aggiungi IOC fittizio, (3) mappa i TTP su MITRE ATT&CK ma contrassegna ciascun numero T "[conferma in ATT&CK]", (4) non dire "gruppo esatto" per l'attribuzione; Utilizzare il linguaggio "compatibile con queste tecniche" e dichiarare la forza delle prove, (5) scrivere domande sul motivo per cui queste informazioni potrebbero applicarsi al nostro settore/architettura. Segnalazione: [incolla]
Un'affermazione forte richiede riepilogo + struttura, lascia ogni IOC/TTP alla verifica, proibisce un'attribuzione precisa, mette in dubbio la pertinenza.
Modelli di prompt copiabili
MODELLO DI RIEPILOGO DEL RAPPORTORiassumere il seguente rapporto sulle minacce a 3 livelli: (1) strategico (chi, perché, settore target), (2) tattico (TTP utilizzati), (3) tecnico (tipi di IOC). Non superare 1 pagina. Non includere affermazioni che non hai rimosso dal rapporto; fabbricazione.Rapporto: [incolla]
MODELLO DI ESTRAZIONE IOCEstrae gli IOC strutturati dal seguente testo: tipo (IP/dominio/hash/URL/email), valore, contesto. Prendi solo ciò che è CHIARAMENTE indicato nel testo; raccordo. Seleziona "[la fonte corrente + secondaria deve essere verificata]" per ciascun IOC. Verifica in forma tabellare.Testo: [incolla]
MODELLO DI CORRISPONDENZA ATT&CK Mappa i comportamenti nella narrativa dell'attacco alle tattiche e alle tecniche MITRE ATT&CK. Per ogni mappatura: citazione del comportamento + nome della tecnica suggerita +"[Il numero T deve essere confermato in ATT&CK]". Non fornire una tecnica/un numero inventato; se non sei sicuro, scrivi "[non chiaro]". Narrazione: [incolla]
MODELLO DI VALUTAZIONE DELLA RILEVANZA Aiutami a valutare se la seguente intelligence sulle minacce è applicabile alla nostra organizzazione: genera le domande su quali delle nostre risorse corrispondono alla tecnologia/settore target. Il processo decisionale; Dammi una lista di controllo. Riepilogo dell'intelligence: [incolla]
Errori comuni
- Effettuare una precisa attribuzione di gruppo. L'attribuzione è l'area più difficile e più fraintesa; Invece di "esattamente quel gruppo", dì "compatibile con queste tecniche" e conferma con la fonte.
- Bloccare il CIO senza verificare la valuta. I CIO hanno vita breve; Un vecchio IP potrebbe ora appartenere a un servizio legittimo, controlla prima l'aggiornamento.
- Affidarsi ad un'unica fonte. Confermare l'intelligence con una seconda fonte indipendente; C’è molta intelligenza falsa/fabbricata.
- Non mettere in discussione la pertinenza. Non tutte le minacce sono la tua minaccia; Guarda la sovrapposizione di industria, tecnologia e architettura.
- Costituire il CIO/la tecnica/il gruppo pensando che sia vero. L’intelligenza artificiale può adattarli fluentemente; verificarli ciascuno alla fonte nota e MITRE ATT&CK.
Suggerimento: il livello più persistente e prezioso di intelligence sulle minacce è il TTP, non l’IOC. L'aggressore cambia il suo IP in un giorno, ma è difficile cambiare il suo modello di comportamento (TTP). Costruisci la tua difesa sul rilevamento TTP, non sul blocco IOC.
Attenzione: l'inserimento di un IOC nella blocklist potrebbe anche intercettare il traffico legittimo (blocco dei falsi positivi). Puntare il dito contro un gruppo in modo errato spreca risorse nella direzione sbagliata. L'intelligenza è un input; La decisione di blocco e attribuzione spetta all'analista previa verifica.
In sintesi
L’intelligence sulle minacce consente all’organizzazione di combattere non da sola ma con l’esperienza del mondo; ma poiché è numeroso, disordinato e variabile, richiede interpretazione. L'intelligenza artificiale riassume lunghi rapporti a tre livelli (strategico, tattico, tecnico), estrae IOC e TTP, mappa su MITRE ATT&CK e fornisce uno schema di pertinenza. I rischi maggiori: CIO/tecnica/gruppo inventati, attribuzione accurata ma falsa e CIO obsoleto. Ecco perché ogni CIO è validato con attualità e seconda fonte, ogni tecnica è verificata in ATT&CK; il riferimento è fatto nel linguaggio “compatibile con le tecniche” e non “gruppo definitivo”; e la decisione di bloccare/imporre spetta all'analista. Il cuore della difesa è il rilevamento TTP permanente, non IOC di breve durata.
Compito dell'applicazione
Ottieni un campione pubblico di report sulle minacce. Estrai un elenco riepilogativo e strutturato di IOC da AI con i modelli "Riepilogo report" e "Estrazione IOC". Controlla la valuta e l'autenticità di 5 IOC su una fonte nota; Prova a trovare almeno un CIO obsoleto o discutibile. Verifica i numeri T delle tecniche rilasciate con il modello "ATT&CK Matching" sul sito MITRE ATT&CK e rileva un numero falso/falso, se presente.
lista di controllo
- [ ] Ho riassunto il rapporto su tre livelli (strategico, tattico, tecnico).
- [] Ho verificato ogni CIO con la valuta e una seconda fonte indipendente.
- [ ] Ho verificato ogni tecnica/trucco MITRE ATT&CK nella fonte ufficiale.
- [ ] Ho affrontato il riferimento al gruppo utilizzando il linguaggio "coerente con le tecniche" piuttosto che "esatto".
- [ ] Ho messo in dubbio la rilevanza dell'intelligence per la mia istituzione (settore, tecnologia, architettura).
- [ ] Ho verificato ogni affermazione, sapendo che potrebbe essere inventata dal CIO/tecnica/gruppo.
- [ ] Ho preso la decisione di bloccarmi e implementarmi come analista dopo la verifica.