Табыстар:
- Жасанды интеллект дәлелдемелерді қорытындылаумен, уақыт кестесін белгілеумен, негізгі себептерді сұрыптаумен және ойын кітапшасының жобасын жасау арқылы оқиғаға жауап беруді жеделдететінін түсіну, бірақ оқшаулау/құлыптау/жабу/хабарлау туралы шешім уәкілетті топқа тиесілі.
- Бизнеске әсер ету және қайтарымдылық тұрғысынан оқшаулау опцияларын бағалау және оның әсерін өлшеместен маңызды инфрақұрылымды оқшауламау мүмкіндігі
- Қалпына келтіру жылдамдығы дәлелдемелерді сақтауды жеңе алмайтынын (криминалистикалық кескін, дәлелдер тізбегі) және сот-медициналық қадамдарды жасанды интеллектке көшіруге болмайтынын түсіну қабілеті
Қауіпсіздік оқиғасы бұзылса, уақыт жау болады. Ransomware тарай бастағанда, бұл минут сайын көбірек машиналар шифрланатынын білдіреді; Есептік жазба бұзылған кезде, шабуылдаушы минут сайын тереңірек үңіледі. Оқиғаға жауап беру (қысқаша IR) – қауіпсіздік оқиғасын анықтау, оны шектеу, тазалау және қалыпты жағдайға келтіру процесі. IR қысыммен, толық емес ақпаратпен және сағат тілімен шешім қабылдауды талап етеді; Дәл сол себепті ол әрі жылдам, әрі тәртіпті болуы керек.
AI IR-ға баға жетпес жылдамдық әкеледі: шашыраңқы дәлелдемелерді (журналдар, ескертулер, EDR деректері) жылдам қорытындылайды, оқиғаның хронологиясын белгілейді, ықтимал негізгі себебін санайды, ойын кітабының жобасын (алдын ала анықталған қадамдық араласу нұсқаулығы) жасайды және араласудан кейінгі есептің контурын жасайды. Бірақ IR-дағы ең маңызды шешімдер — жүйені желіден оқшаулау, тіркелгіні құлыптау, серверді өшіру, дәлелдемелерді жою немесе сақтау — қайтымды, бизнестің үзілуіне әкелетін және сот процестеріне әсер ететін шешімдер. Бұларды AI-ға беруге болмайды. AI - IR-дағы талдау және сызба жасау қозғалтқышы; Оқшаулау, құлыптау, жабу және хабарлау туралы шешім құзыретті әрекет ету тобына тиесілі.
Оқиғаға қарсы әрекет ету кезеңдері
Өнеркәсіптегі жалпы құрылым (NIST негізінде) алты фазадан тұрады. Әр кезеңде АИ көмегі мен шегі әртүрлі:
- Дайындық: Ойын дәптері, рөлдер, қарым-қатынас жоспары алдын ала дайын. Жасанды интеллект ойын кітаптары мен бұрғылау сценарийлерін қазіргі уақытта емес, оқиғаға дейін жасауға көмектеседі.
- Анықтау және талдау: Оқиға тексеріліп, оның ауқымы анықталады. AI дәлелдемелерді жинақтайды, уақыт кестесін белгілейді және негізгі себептердің гипотезасын тізімдейді. Шешім талдаушыға байланысты.
- Контейнер: Спред тоқтатылды (оқшаулау, есептік жазбаны құлыптау). Бұл маңызды шешім адамдарға тиесілі; AI тек опцияларды және олардың әсерлерін тізімдейді.
- Жою: Зиянды, бэкдор, бұзылған тіркелгілер жойылады. AI бақылау парағын жасайды; іске асыру және тексеру адамдық.
- Қалпына келтіру: Жүйелер басқарылатын түрде қалпына келтіріледі және бақыланады. AI мониторинг жоспарын ұсынады.
- Алған сабақтары: Түпкі себеп, уақыт кестесі, жақсарту. AI есептердің жобаларын және жақсарту ұсыныстарын жасайды; Ол бекіту тобында.
Шарттар: EDR (соңғы нүктелерді анықтау және жауап беру — соңғы нүктелерде, яғни компьютерлерде жұмыс істейтін және күдікті әрекетті анықтап, оларға жауап бере алатын бағдарламалық құрал). Түпкі себеп - оқиғаның нақты бастау нүктесі («Олар бірінші кезекте қалай кірді?»). Күзетпен ұстау тізбегі – бұл сот-медициналық дәлелдемелердің кім, қалай және қашан жиналғаны туралы үзіліссіз жазба; Бұл құқықтық процесте өте маңызды. MTTR (Жауап берудің орташа уақыты) IR командасының өнімділігінің өлшемі болып табылады.
Шешім қабылдау құқығының кестесі
IR әрекеті
АИ рөлі
Кім шешеді
Неліктен
Дәлелдемелерді қорытындылау, уақыт кестесі
өндіруші, үдеткіш
Сарапшы растайды
Галлюцинация қаупі
Түбірлік себеп гипотезасы
Сұрыптаушы, ұсыныс
талдаушы
Контекст және дәлел қажет
Ойын кітапшасының жобасы (бұрын)
эскиз генераторы
IR жетекшісі растайды
Қолдану мүмкіндігі
Жүйені оқшаулаңыз
Тек опцияларды тізімдейді
уәкілетті талдаушы
Істің үзілуі, қайтарылуы
Есептік жазбаны құлыптау
Әсеріне талдау жасайды
уәкілетті талдаушы
Қате құлып жұмысты тоқтатады
Дәлелдемелерді жою/сақтау
Ескерту, ұсыныстар
IR көшбасшы + заң
Сот процесі зардап шегеді
Құқықтық/нормативтік ескерту
жоба авторы
Құқық + менеджмент
Заңды жауапкершілік
үш шағын іс
1-жағдай — Қысыммен қысқаша қорытындылау. Төлем бағдарламасы туралы ескерту таңғы 2:40-та келеді. Сарапшы AI-ға EDR және брандмауэр журналдарын (анонимдеу арқылы) береді. AI әр 90 секунд сайын уақыт кестесін жасайды: "01:55 фишингтік тіркеме ашылды, 02:10 PowerShell жүктелді, 02:30 бүйірлік қозғалыс басталды, 3 машина әсер етті." Аналитик бұл тізбекті шикі EDR жазбасымен растайды, 3 зардап шеккен машинаны өз қалауы бойынша оқшаулайды және таралуды тоқтатады. AI дәлелдемелерді оқудың 20 минутын 90 секундқа дейін қысқартты; Сарапшы оқшаулау туралы шешім қабылдады.
2-жағдай – Қате оқшаулау ұсынысы. Бір жағдайда AI: «IC_HOST_7 трафик күдікті, оқшауланған» дейді. Талдаушы мәтінмәнді тексереді: IC_HOST_7 — ұйымның негізгі аутентификация сервері; Оқшауланған жағдайда барлық қызметкерлер кіруді тоқтатады. Оның үстіне трафиктің себебі - заңды резервтік көшірме. Сарапшы оқшауланбайды, баламалы түрде тек күдікті сілтемені бақылайды. Сабақ: Жасанды интеллект оқшаулау жөніндегі ұсынысты іскерлік әсерді білмей орындау мүмкін емес; Маңызды инфрақұрылым үшін шешім мұқият адам болып табылады.
3-жағдай - Дәлелдемелерді кездейсоқ жою. Тазалауға асыққан топ AI-дан «бұл машинаны қалай тез тазалаймын?» Деп сұрады. ол сұрайды; AI жүйені қайта орнатуды ұсынады. Бірақ машинада әлі жинақталмаған криминалистикалық дәлелдер бар (жад қалдығы, шабуылдаушы құралдары); қайта орнату дәлелдер тізбегін бұзады. Аға талдаушы алдымен суреттің (криминалистикалық көшірмесі) алынуын қамтамасыз етеді, содан кейін оны тазартады. Сабақ: қалпына келтіру жылдамдығы дәлелдемелерді сақтауды жеңе алмайды; сот қадамдары АИ-ге берілмейді.
Әлсіз шақыру / Күшті шақыру
Әлсіз шақыру:
Ransomware шабуылы бар, мен не істеуім керек? Қандай машиналарды өшіруім керек?
Бұл шақыру AI-дан тікелей операциялық шешімді сұрайды (қай машинаны өшіру керек), ешқандай контекст, іскерлік әсер және ешқандай дәлел бермейді. AI жалпы немесе қауіпті нұсқау береді; Соқыр түрде қолданылса, жұмыс тоқтайды немесе дәлелдер жоғалады.
Күшті шақыру:
Сіздің рөліңіз: оқиғаға жауап беру тобына ТАЛДАУ және ОПЦИЯЛАР ұсынатын көмекші. Шешім қабылдамаңыз; «бұл машинаны өшіруге/оқшаулауға» тапсырыс бермеңіз, жай ғана опцияларды және әрқайсысының ықтимал әсерін тізімдеңіз. Төмендегі анонимді дәлелдерді өңдеңіз: [EDR/журнал қорытындысы]. Сіздің тапсырмаңыз: (1) ықтимал оқиғаның хронологиясын құрастырыңыз, әр қадамды қандай дәлелге негіздейтініңізді көрсетіңіз, негізі жоқ біреуін «[тексерілуі керек]» деп белгілеңіз, (2) 3 негізгі себеп гипотезасын тізіп, әрқайсысын қалай тексеруге болатынын жазыңыз, (3) шектеу ОПЦИЯЛАРЫН тізімдеңіз (оқшаулау, бақылау) және әрбір бизнестің әсер ету қаупін жазып алу; Шешімді маған қалдырыңыз, (4) оқшаулау алдында дәлелдемелерді сақтау үшін қандай қадамдар қажет екенін еске салыңыз.
Күшті сұраныс AI-ны опция провайдері ретінде шектейді, оны дәлелдермен байланыстырады, бизнеске әсер ету мен дәлелдемелерді сақтауға баса назар аударады және шешімді адамдарға қалдырады.
Көшіретін шақыру үлгілері
ОҚИҒА Хроникасының ҮЛГІСІ Осы анонимді IR дәлелдерінен хронологиялық оқиға уақыт кестесін жасаңыз. Әрбір жол:[уақыт] [оқиға] [дәлелдер көзі]. Уақыт белгісі немесе дәлелі жоқ қадамды қосу; бос орынға «[жоғалған - жиналуы керек]» деп белгілеңіз. Шешім/ұсыным, тек дәлелдерге негізделген рейтинг. Дәлелдер: [қою]
ТҮБІР СЕБЕП ГИПОТЕЗІ ҮЛГІСІ Осы оқиға үшін ең ықтимал 3-5 түбірлік себеп гипотезасын жасаңыз. Әрбір гипотеза үшін: (1) ол негізделген дәлелдер, (2) оны растау үшін жиналатын қосымша дәлелдер, (3) егер бұл шындық болса, күтілетін кез келген басқа іздер. Олардың ешқайсысын нақты деп жарияламау; Ықтималдық тілін қолданыңыз. Оқиғаның қысқаша мазмұны: [қою]
ЖАСАУ ОПЦИЯСЫНЫҢ ҮЛГІЛЕРІКелесі жағдайға (оқшаулау / бақылау / құлыптау / сегмент) арналған оқшаулау ОПЦИЯЛАРЫН тізімдеңіз. ӘР БІР опция үшін: бизнеске әсер ету, қайтару қиындығы, дәлелдемелерге әсер ету, сот-сараптамалық тәуекел. Маған бұйрық бермеңіз; Мен шешім қабылдаймын. Бұл әсіресе маңызды инфрақұрылым (идентификатор, DNS, сақтық көшірме) тартылған жағдайда қолайлы. Күйі: [қою]
ОЙЫН КІТАПЫНЫҢ ЖОБА ҮЛГІСІ (оқиға алдындағы дайындық) Келесі сценарий үшін [мыс. жұмыс электрондық поштасының компромисс] қадамдық араласу ойын кітабының ЖОБАСЫН жазыңыз: триггер, рөлдер, оқшаулау, жою, қалпына келтіру, контакт, хабарландыру қадамдары. Әрбір маңызды шешімнің жанына «[адамның рұқсаты]» құсбелгісін қойыңыз. Бұл жоба IR жетекшісінің келісімінсіз күшіне енбейді.
Жалпы қателер
- AI операциялық шешімдер қабылдауға мүмкіндік беріңіз. «Қандай машинаны өшіру керек» деген сұрақ АИ-ге емес, бизнеске әсер ететін командаға тиесілі; AI тек таңдау мен әсерді ұсынады.
- Дәлелдерді жинамай-ақ тазалау. Жылдамдық үшін сот-медициналық дәлелдемелерді жою қайтымсыз; Оқшаулау/тазалау алдында кескін мен жадты тастаңыз.
- Уақыт шкаласын есепке оны растамай импорттау. AI оқиғалар тізбегін құра алады; Әрбір қадамды шикі дәлелдермен растаңыз.
- Маңызды инфрақұрылымды ойланбастан оқшаулау. Оқшаулау сәйкестендіру, DNS, резервтік сервер бүкіл ұйымның жұмысын тоқтата алады; алдымен әсерді өлшеңіз.
- Оқиға кезінде алғаш рет Playbook жазу. Ойын кітапшасы дайындық кезеңінде жасалады; Оқиға кезінде нөлден жазуға тырысу дүрбелең мен қателерді тудырады.
Кеңес: IR-де әрқашан AI-ға «опцияларды және олардың әсерлерін тізімдеңіз, мен шешуге рұқсат етіңіз» деп айтыңыз. Бұл жалғыз сөйлем АИ-ді қауіпті «автопилоттан» қауіпсіз «кеңесшіге» айналдырады.
Ескерту: жүйені оқшаулау, есептік жазбаны құлыптау немесе дәлелдемелерді жою қайтымсыз салдарға әкелуі және сот/құқықтық процестерге әсер етуі мүмкін. Бұл шешімдер уәкілетті ден қою тобының және қажет болған жағдайда құқықтық және басшылықтың келісімімен қабылданады; AI шығысы - бұл тапсырыс емес, ұсыныс.
Қысқаша
Оқиғаға жауап беру қысыммен және сағаттың тықылдағанымен жылдам әрі тәртіпті шешім қабылдауды талап етеді. AI бұл жылдамдықты дәлелдемелерді қорытындылау, уақыт кестесін құру, негізгі себептерді сұрыптау және ойын кітабын жасау арқылы айтарлықтай арттырады. Бірақ IR-ның ең маңызды әрекеттері — оқшаулау, есептік жазбаны құлыптау, жүйені өшіру, дәлелдемелерді жою/сақтау, заңды ескерту — бизнестің үзілуіне және құқықтық салдарға әкелетін қайтымсыз шешімдер және оларды АИ-ге тапсыруға болмайды. Алты кезеңнің әрқайсысында (дайындық, анықтау, оқшаулау, жою, құтқару, сабақ) AI талдау мен сызбаны шығарады; Шешім уәкілетті топқа тиесілі. Екі алтын ереже: дәлелдемелерді сақтамай тазарту, оның әсерін өлшеместен маңызды инфрақұрылымды оқшаулау.
Қолданбалы тапсырма
Жағдайдың сценарийін таңдаңыз (мысалы, фишингтен кейін есептік жазбаны басып алу). «Оқиғалар хронологиясы» және «Түбірлік себеп гипотезасы» үлгілерімен AI талдауын көрсетіңіз; Уақыт кестесінің әрбір қадамын тексеру үшін пайдаланатын дәлелдерді жазыңыз. Содан кейін, «Шектеу опциясы» үлгісімен, сізде үш шектеу опциясы болғаннан кейін, әрқайсысының іскерлік әсерін өзіңіз бағалаңыз және қайсысын таңдайтыныңызды және неліктен (және дәлелдерді сақтау үшін алдымен не істейтініңізді) ескеріңіз.
бақылау парағы
- [ ] Мен AI-ны опция/талдау сервері ретінде шектедім; Мен операциялық шешім қабылдадым.
- [ ] Мен уақыт сызбасының әрбір қадамын шикі дәлелдермен тексеріп, ойдан шығардым.
- [ ] Оқшаулау/тазалау алдында дәлелдерді жинау (сурет, жад қоқысы) қадамын жоспарладым.
- [ ] Мен алдымен маңызды инфрақұрылым үшін оқшауланудың бизнеске әсерін өлшедім.
- [ ] Мен түпкі себеп гипотезаларын түпкілікті емес, тексерілетін мүмкіндіктер ретінде қарастырдым.
- [ ] Ойын кітапшасын іс-шара алдында дайындап, оны IR жетекшісіне бекітуге бердім.
- [ ] Заңды хабарландыру қажет болған жағдайда мен заңды/әкімшілік мақұлдауды қостым.