Табыстар:
- Бір анықтамаға (UTC) бірнеше уақыт белгісінің көздерін қалыпқа келтіру және жасанды интеллектпен супер хронологиядағы ауытқулар мен бос орындарды белгілеу мүмкіндігі
- Корреляция мен себептілікті ажырата білу және әрбір оқиғаны оның көзіне қосу арқылы жасанды интеллект арқылы құрылған әңгімені тексеру мүмкіндігі
- Уақытты белгілеу, сағаттың ауытқуы және журналдық бос орындар сияқты тәуекелдерді тану және оларды бірнеше көздермен растау мүмкіндігі
Кибероқиғаның қашан, қалай және қандай ретпен болатынын көрсететін бір ғана нәрсе бар: уақыт. Шабуыл жасаушы жүйеге кірген кезде, ол қай файлға қол тигізді және қашан, деректерді эксфильтрациялады — мұның бәрі әртүрлі журналдарда (жүйе оқиғаларды жазатын файлдарды жазу) және әртүрлі уақыт белгілерінде (уақыт белгісі — оқиға болған күн мен уақыттың жазбасы) сақталады. Уақыт кестесін талдау осы шашыраңқы уақыт белгілерін бір хронологиялық баяндауға реттейді және «не болды?» Деп сұрайды. Бұл сұраққа жауап беру өнері. Бұл бөлімде біз AI осы беймаза деректерді ұйымдастыруда үлкен жылдамдықты қалай қамтамасыз ететінін және ол сізді қай жерде адастыруы мүмкін екенін көреміз.
Уақыт белгілерінің көптігі мен қателері
Тіпті бір файлда бірнеше уақыт белгілері бар. Мысалы, файлдық жүйеде MACB штамптары бар: Өзгертілген, Қол жеткізілген, Өзгертілген, Туылған. Бұдан басқа, операциялық жүйе оқиғаларының журналдары (Windows Event Log), веб-сервер журналдары, желіаралық қалқан журналдары, қолданбалар журналдары және тізілім (Windows тізілімі – жүйелік және қолданба параметрлері сақталатын иерархиялық дерекқор) жазбалары бар.
Ең үлкен қате - уақыт белдеуі мен уақыттың ауытқуы. Бір журналда UTC (келісілген әмбебап уақыт), екіншісі жергілікті уақытты жазады; жүйенің сағаты дұрыс орнатылмаған болуы мүмкін; Шабуыл жасаушы уақыт белгілерін әдейі басқарған болуы мүмкін (timestomping — жалған файл уақыт белгілері). Сондықтан уақыт шкаласын орнатпас бұрын, әр көздің уақыт белдеуі мен сағат дәлдігі анықталуы керек, барлығы жалпы анықтамаға (әдетте UTC) қалыпқа келтірілуі керек.
Абайлаңыз: екі бөренелерді әртүрлі уақыт кезеңдерінде қатар қойып, «бір уақытта болды» деп айту классикалық қате. Корреляциядан бұрын барлық уақыт белгілерін бір сілтемеге түрлендіру; Әйтпесе, AI (және сіз) орнатқан себеп-салдар байланысы басынан бастап шірік.
Супер хронология және AI
Компьютерлік криминалистикада осы көздердің барлығын біріктіретін құрылым супер хронология деп аталады; Ол көбінесе Plaso/log2timeline сияқты құралдармен жасалады және ондаған мың немесе тіпті миллиондаған жолдар болуы мүмкін. Дәл осы жерде AI кіреді: осы үлкен диаграммадағы мағыналы үлгілер мен аномалияларды белгілеу.
AI қауіпсіз жарналары:
- Аномалияны белгілеу: сағаттан тыс қолжетімділік, артықшылықтың кенет ұлғаюы, әдеттен тыс процесс тізбегі, қысқа аралықта бірнеше сәтсіз кірулер.
- Оқиғаларды кластерлеу: Бір уақыт терезесінде шоғырланатын оқиғаларды топтастыру және оларды «мұнда бірдеңе болды» деп белгілеу.
- Баяндау құрылымы: Тексерілген оқиғаларды қарапайым тілдегі хронологиялық оқиғаға аудару (есептің бірінші жобасы).
- Алшақтықты анықтау: «Осы 40 минуттық интервалда журналдар жоқ — олар жойылған болар ма еді?» сияқты кемшіліктерді сұрау.
Әрқайсысында AI гипотеза жасайды; Сіз себептілік пен дәлелдемелік мәнді дәлелдейсіз.
Кеңес: AI-ға уақыт шкаласын берген кезде, алдымен оған уақыт белдеуі мен пішімін анық айтыңыз: "Барлық уақыт белгілері UTC, ISO 8601 пішімінде." Алдымен аралас пішімдерді қалыпқа келтіріңіз; AI форматын болжауға мүмкіндік беру қатеге шақыру болып табылады.
Корреляция себепті байланыс емес
Уақытты талдаудағы ең қауіпті логикалық қате – сабақтастықты себеп-салдар деп ойлау. "USB 22:10-да салынды, файл 22:12-де көшірілді" екі оқиға қатарынан орын алуы мүмкін, бірақ олар бір адамның мұны бір мақсатта жасағанын дәлелдемейді; Басқа түсініктеме болуы мүмкін. AI еркін баяндауды құрастырғанымен, ол бұл олқылықты көрмейді және «деректер USB арқылы ұрланды» сияқты нақты сөйлемді жасай алады. Сарапшының міндеті – балама түсініктемелерді жою және әрбір қадамды тәуелсіз дәлелдермен қолдау.
үш шағын іс
1-жағдай — Сағаттың ауытқуы ұсталды. Бір жағдайда веб-сервер журналы мен брандмауэр журналы 3 сағат бойы басқаша көрінді. Бірінші жобада AI осы «екі бөлек шабуылды» қарастырды. Сарапшы сервердің уақыт белдеуі дұрыс орнатылмағанын анықтады; Қалыпқа келтірілгенде, екі журнал бір оқиғаға сәйкес келеді. 3 сағаттық «фантомдық айырмашылық» жойылды.
2-жағдай - бос орын жоюды анықтады. 1,1 миллион жолдың супер хронологиясында AI 02:30-03:10 аралығында ешқандай жазбалар жоқ деп белгіледі. Сарапшы тексерді: Бұл терезеде қауіпсіздік журналдары әдейі тазартылды (журналдарды тазалау). Бостың өзі шабуылдың ең күшті дәлелдерінің біріне айналды.
3-жағдай - Галлюцинация оқиғаны ойлап тапты. Жиынтық жасау кезінде YZ: «Әкімші тіркелгісі 03:45-те жасалды» деді. Сарапшы дереккөзді қарады: мұндай оқиға идентификаторы болған жоқ — оқиға түрін көрсететін Windows журналдарындағы нөмір; AI екі түрлі жолды біріктіріп, болмаған оқиғаны тудырды. Дереккөзге байланыстыру қадамы жалған әңгіменің алдын алды.
Көшірілетін төрт үлгі
1) Уақытты қалыпқа келтіру жоспары:
Сіздің рөліңіз: криминалистикалық хронология талдаушысы. Мен сізге әртүрлі көздерден уақыт белгілерін беремін (пішімдер мен уақыт кезеңдері әртүрлі болуы мүмкін). Алдымен әрбір көздің пішімін және уақыт белдеуін анықтаңыз, содан кейін олардың барлығын UTC / ISO 8601 стандартына түрлендіру жоспарын жасаңыз. Өзіңіз сенімді емес уақыт белдеуін «растау қажет» деп белгілеңіз.
2) Аномалияны белгілеу:
Мәтінмән: кәсіпорын сервері, қалыпты жұмыс уақыты 08:00-18:00 (UTC+3). Мен сізге қалыпқа келтірілген оқиғалар тізімін беремін. Тізімде ШЫНДЫҒЫНДА пайда болатын жазбаларға ғана негізделіп, келесіні белгілеңіз: жұмыстан тыс қолжетімділік, артықшылықты арттыру, қайталанатын сәтсіз кіру, әдеттен тыс процесс тізбегі. Әрбір белгі үшін тиісті жолды келтіріңіз. Түсіндірме/себепті қосу; Мен оны бағалаймын.
3) Баяндау құрылымы (баяндама үшін):
Төменде МЕН ТЕКСЕЛГЕН оқиғалар (әрқайсысының көзі бар). Оларды қарапайым, хронологиялық баяндауға айналдырыңыз. Мен беретін оқиғаларды ғана пайдаланыңыз; жаңа оқиғаны, болжамды немесе себептілікті қосу. «Мүмкін» деп сипаттайтын анық емес байланыстарды тілде жазыңыз.
4) Бос және сәйкессіздікті сканерлеу:
Бұл қалыпқа келтірілген уақыт шкаласында: (1) күтілетін, бірақ жоқ болып көрінетін журнал кезеңдерін белгілеңіз, (2) реттелмеген жазбаларды (болашақтан өткенге), (3) топтама/автоматты түрде пайда болатын өсулер. Әрқайсысын сәйкес жол аралығымен көрсетіңіз. Бұл жою/манипуляция БЕЛГІЛЕРІ болуы мүмкін, бірақ дәлел емес екенін ескеріңіз.
Әлсіз шақыру / Күшті шақыру
Әлсіз шақыру:
Осы журналдарды қорытындылаңыз және не болғанын түсіндіріңіз.
Уақыт шеңбері, дереккөз немесе «тек нақты жазба» шектеулері жоқ; AI еркін, бірақ ойдан шығарылған оқиға құра алады.
Күшті шақыру:
Сіздің рөліңіз: криминалистикалық журнал талдаушысы. Дереккөз: 3 журнал (Windows Security, Apache қатынасы, брандмауэр), барлығы UTC, ISO 8601 стандартына қалыпқа келтірілген. Тапсырма: 14 наурыз 21:00-23:00 аралығындағы оқиғаларды тек берілген жолдар негізінде хронологиялық тізімдеу; әр жолды көзімен және оқиға идентификаторымен/кодымен келтіріңіз. Корреляцияны орнату, себептілікті талап ету; Мен түсініктеме беремін. Жетіспейтін немесе әдеттен тыс аралықтарды бөлек белгілеңіз.
Бастапқы, нормаланған сілтеме, «тек берілген жол» және «себеп-салдарлық байланысты орнату» шектеулері шығысты қорғалатын етеді.
Уақыт белгісі көздерінің кестесі
Дереккөз
Уақыт белгісінің мысалы
Назар аударыңыз
Файлдық жүйе (MACB)
Өзгерту/қол жеткізу/жасау
Уақытты белгілеуге ашық
Windows оқиғалар журналы
Жүйеге кіру, процесс, қызмет көрсету оқиғалары
Оқиға идентификаторын тексеріңіз
веб-сервер журналы
сұрау уақыты
уақыт белдеуін тексеру
брандмауэр/желі
байланыс, бас тарту
Сағат синхрондау (NTP)
Тіркеу
Соңғы жазу уақыты
Пікір жазу тәжірибені қажет етеді
Қолданба/браузер
тарих, кэш
жергілікті уақыт болуы мүмкін
Жалпы қателер
- Уақыт аралығын қалыпқа келтірмей корреляцияны орнату. Әртүрлі кесінділер жалған «парастық» жасайды.
- Себеп-салдарлық байланысты қателесу. Бірінен соң бірі орын алған оқиғалар бір қылмыскерді/мақсатты білдірмейді.
- Уақыт белгісіне абсолютті сенім. Уақытты тоқтату және дұрыс емес уақыт болуы мүмкін; Бірнеше көздермен растаңыз.
- AI жиналған оқиғаны растамау. Екі жолдың бірігуі жоқ оқиғаны тудыруы мүмкін.
- Олқылықтарды елемеу. Жоғалған журнал көбінесе ең маңызды дәлел болып табылады.
Қысқаша айтқанда
Уақыт кестесін талдау - шашыраңқы уақыт белгілерін бір тексерілетін хронологияға біріктіру әрекеті. AI аномалияны белгілеуде, кластерлеуде, бос орындарды анықтауда және миллион жолдық супер хронологияда баяндау жобасын жасауда үлкен жылдамдықты қамтамасыз етеді. Бірақ уақыт аралығын қалыпқа келтіру, корреляциялық-себептік ажырату және әрбір оқиғаны көзге жатқызу адамға тиесілі. AI гипотеза жасайды; Сіз сотта хронологияны қорғайсыз.
Қолданбалы тапсырма
Әртүрлі пішімде және уақыт белдеуінде 15-20 жолдан тұратын үлгі оқиғалар тізімін дайындаңыз (әдейі уақыт ауысымы мен бос орынды қосыңыз). Алдымен олардың барлығын «Уақытты қалыпқа келтіру жоспары» үлгісімен UTC түріне түрлендіріңіз. Содан кейін «Аномалияны белгілеу» және «Бостығын сканерлеу» үлгілерін қолданыңыз және көзде AI жазған сағаттың ауытқуын және алшақтықты тексеріңіз.
бақылау парағы
- [ ] Мен барлық уақыт белгілерін бір сілтемеге (UTC) қалыпқа келтірдім.
- [ ] Мен әрбір оқиғаны оның көзіне (файл/оқиға идентификаторы/жол) байланыстырдым.
- [ ] Корреляция мен себепті байланысты ажыраттым; Мен балама түсініктемелерді қарастырдым.
- [ ] Мен журнал бос жерлерін және әдеттен тыс жазбаларды белгіледім.
- [ ] Мен бастапқы жазбада AI біріктірген/қорытындылаған оқиғаларды растадым.