ಬೆದರಿಕೆ ಬೇಟೆ: ಕಲ್ಪನೆಗಳನ್ನು ಸ್ಥಾಪಿಸುವುದು ಮತ್ತು ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯೊಂದಿಗೆ ಸಂಕೇತಗಳನ್ನು ಹುಡುಕುವುದು

ಲಾಭಗಳು:

• ಬೆದರಿಕೆ ಬೇಟೆಯು ಪರೀಕ್ಷಿಸಬಹುದಾದ ಊಹೆಯೊಂದಿಗೆ ಹೇಗೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಅಲಾರಾಂ ಅಲ್ಲ, ಮತ್ತು ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯು ಊಹೆಯ ರಚನೆ ಮತ್ತು ಪ್ರಶ್ನೆಯ ಕರಡು ರಚನೆಯಲ್ಲಿ ಹೇಗೆ ಸಹಾಯ ಮಾಡುತ್ತದೆ ಎಂಬುದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಿ.
• ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯಿಂದ ಹೈಲೈಟ್ ಮಾಡಲಾದ ವಿರುದ್ಧ/ಅಪರೂಪದ ಸಂಕೇತವು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ದುರುದ್ದೇಶಪೂರಿತ ಉದ್ದೇಶವನ್ನು ಅರ್ಥೈಸುವುದಿಲ್ಲ ಎಂದು ಅನ್ವಯಿಸುವ ಸಾಮರ್ಥ್ಯ, ಮತ್ತು ಊಹೆಯನ್ನು ಕಚ್ಚಾ ಸಾಕ್ಷ್ಯದೊಂದಿಗೆ ದೃಢೀಕರಿಸಬೇಕು.
• ಅಧಿಕೃತ ಮೂಲದೊಂದಿಗೆ ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆ ನೀಡಿದ MITER ATT&CK ತಾಂತ್ರಿಕ ಸಂಖ್ಯೆಗಳು ಮತ್ತು ಈವೆಂಟ್ ID ಗಳನ್ನು ಪರಿಶೀಲಿಸುವ ಸಾಮರ್ಥ್ಯ ಮತ್ತು ಫ್ಯಾಬ್ರಿಕೇಟೆಡ್ ತಾಂತ್ರಿಕ ವಿವರಗಳನ್ನು ತೆಗೆದುಹಾಕುವುದು

ಕ್ಲಾಸಿಕ್ ಸೆಕ್ಯುರಿಟಿ ಮಾನಿಟರಿಂಗ್ "ಅಲಾರಾಂಗಾಗಿ ನಿರೀಕ್ಷಿಸಿ, ಅದು ಬಂದಾಗ ನೋಡಿ" ಎಂಬ ತರ್ಕದೊಂದಿಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ. ಆದರೆ ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ಆಕ್ರಮಣಕಾರರು ಅಲಾರಮ್‌ಗಳನ್ನು ಹೆಚ್ಚಿಸದಿರಲು ಪ್ರಯತ್ನಿಸುತ್ತಾರೆ: ಅವರು ಕಾನೂನುಬದ್ಧ ಸಾಧನಗಳನ್ನು ಬಳಸುತ್ತಾರೆ (ಇದನ್ನು "ಶೋಷಣೆ" ಎಂದು ಕರೆಯಲಾಗುತ್ತದೆ - ಅಂದರೆ, ಪವರ್‌ಶೆಲ್, ಡಬ್ಲ್ಯೂಎಂಐನಂತಹ ಸಿಸ್ಟಮ್‌ನಲ್ಲಿ ಈಗಾಗಲೇ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಸಾಧನಗಳನ್ನು ದುರುಪಯೋಗಪಡಿಸಿಕೊಳ್ಳುವುದು), ನಿಧಾನವಾಗಿ ಚಲಿಸುತ್ತದೆ ಮತ್ತು ಸಾಮಾನ್ಯ ಟ್ರಾಫಿಕ್‌ಗೆ ಅಡ್ಡಿಪಡಿಸುತ್ತದೆ. ಅದಕ್ಕಾಗಿಯೇ ಬೆದರಿಕೆ ಬೇಟೆ ಹುಟ್ಟಿಕೊಂಡಿತು: ಎಚ್ಚರಿಕೆಗಾಗಿ ಕಾಯದೆ, "ನನ್ನ ಸಂಸ್ಥೆಯಲ್ಲಿ ಪ್ರಸ್ತುತ ಪತ್ತೆಯಾಗದ ಆಕ್ರಮಣಕಾರರಿದ್ದರೆ, ಅವನು ಎಲ್ಲಿದ್ದನು?" ಪ್ರಶ್ನೆಯೊಂದಿಗೆ ಕುರುಹುಗಳನ್ನು ಪೂರ್ವಭಾವಿಯಾಗಿ ಹುಡುಕಲಾಗುತ್ತಿದೆ: ಬೆದರಿಕೆ ಬೇಟೆಯು ಒಂದು ಊಹೆಯೊಂದಿಗೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಎಚ್ಚರಿಕೆಯಿಂದಲ್ಲ.

ಬೆದರಿಕೆ ಬೇಟೆಯಲ್ಲಿ ಎರಡು ಸ್ಥಳಗಳಲ್ಲಿ ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆ ಬಹಳ ಉಪಯುಕ್ತವಾಗಿದೆ. ಮೊದಲನೆಯದು ಊಹೆಯ ಉತ್ಪಾದನೆ: ದಾಳಿಯ ತಂತ್ರವನ್ನು ನೀಡಿ ಮತ್ತು "ಈ ತಂತ್ರವನ್ನು ನನ್ನ ಸಂಸ್ಥೆಯಲ್ಲಿ ಬಳಸಿದ್ದರೆ, ಯಾವ ಲಾಗ್‌ಗಳಲ್ಲಿ ಮತ್ತು ಯಾವ ಮಾದರಿಯಲ್ಲಿ ಅದು ಜಾಡನ್ನು ಬಿಡುತ್ತದೆ?" ನೀವು ಕೇಳಬಹುದು. ಎರಡನೆಯದು ಸಿಗ್ನಲ್ ಹೊರತೆಗೆಯುವಿಕೆ: ಇದು ದೊಡ್ಡ ಡೇಟಾದಲ್ಲಿ ಅಪರೂಪದ, ಹೊರಗಿರುವ, "ಸಾಮಾನ್ಯಕ್ಕಿಂತ ಭಿನ್ನವಾದ" ಹೈಲೈಟ್ ಮಾಡಬಹುದು. ಆದರೆ ನಿಮ್ಮ ಸಂಸ್ಥೆಗೆ ಯಾವುದು ಸಾಮಾನ್ಯ ಎಂದು AI ಗೆ ತಿಳಿದಿಲ್ಲ ಮತ್ತು ಊಹೆಯನ್ನು "ಸಾಬೀತುಪಡಿಸಲಾಗಿದೆ" ಎಂದು ಯೋಚಿಸುವ ಬಲೆಗೆ ಬೀಳಬಹುದು. ಬೆದರಿಕೆ ಬೇಟೆಯಲ್ಲಿ, AI ಮನಸ್ಸಿನ ಪಾಲುದಾರ ಮತ್ತು ಸ್ಕ್ಯಾನರ್ ಆಗಿದೆ; ಬೇಟೆಗಾರ (ವಿಶ್ಲೇಷಕ) ಬೇಟೆಯು ನಿಜವಾದ ಬೆದರಿಕೆಯನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತದೆಯೇ ಮತ್ತು ಇದನ್ನು ವರದಿ ಮಾಡಬಹುದೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತಾನೆ.

ಬೆದರಿಕೆ ಬೇಟೆಯ ಹಂತಗಳು

1. ಊಹೆ. ಒಂದು ಕಾಂಕ್ರೀಟ್, ಪರೀಕ್ಷಿಸಬಹುದಾದ ವಾಕ್ಯ: "ಆಕ್ರಮಣಕಾರರು ವ್ಯವಹಾರವಲ್ಲದ ಸಮಯದಲ್ಲಿ ಆಂತರಿಕ ನೆಟ್‌ವರ್ಕ್ ಅನ್ನು ರಾಜಿ ಮಾಡಿಕೊಂಡ ಖಾತೆಯೊಂದಿಗೆ ಸ್ಕ್ಯಾನ್ ಮಾಡಬಹುದು." ಇಲ್ಲಿ ಬುದ್ದಿಮತ್ತೆಗಾಗಿ ನೀವು AI ಅನ್ನು ಬಳಸಬಹುದು.
2. ಡೇಟಾ ಮೂಲವನ್ನು ಗುರುತಿಸಿ. ಯಾವ ಲಾಗ್ ಊಹೆಯನ್ನು ರುಜುವಾತು ಮಾಡುತ್ತದೆ/ತಲ್ಲಿಸುತ್ತದೆ? (ಉದಾಹರಣೆಗೆ, ನೆಟ್‌ವರ್ಕ್ ಸ್ಕ್ಯಾನಿಂಗ್‌ಗಾಗಿ ಫೈರ್‌ವಾಲ್ ಮತ್ತು DNS ಲಾಗ್‌ಗಳು, ಸವಲತ್ತು ಹೆಚ್ಚಳಕ್ಕಾಗಿ ಗುರುತಿನ ಲಾಗ್‌ಗಳು.)
3. ಪ್ರಶ್ನೆಯನ್ನು ವಿನ್ಯಾಸಗೊಳಿಸಿ. ಉದ್ದೇಶಿತ ಮಾದರಿಯನ್ನು ಹುಡುಕುವ ಪ್ರಶ್ನೆ (SIEM ಪ್ರಶ್ನೆ ಭಾಷೆ, KQL, SQL ತರಹ). ಪ್ರಶ್ನೆಗಳನ್ನು ರಚಿಸುವಲ್ಲಿ AI ಸಹಾಯ ಮಾಡುತ್ತದೆ; ಆದರೆ ನೀವು ಪ್ರಶ್ನೆಯನ್ನು ಪರಿಶೀಲಿಸಿ ಮತ್ತು ಅದನ್ನು ಚಲಾಯಿಸಿ.
4. ಫಲಿತಾಂಶವನ್ನು ಹೊರತೆಗೆಯಿರಿ. ನೂರಾರು ಸಾಲುಗಳ ಔಟ್‌ಪುಟ್‌ನಿಂದ ನಿಜವಾದ ಸಿಗ್ನಲ್ ಅನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಿ. ಇಲ್ಲಿ AI ಕ್ಲಸ್ಟರಿಂಗ್ ಮತ್ತು ಸಾರಾಂಶವನ್ನು ಮಾಡುತ್ತದೆ.
5. ದೃಢೀಕರಿಸಿ ಅಥವಾ ನಿರಾಕರಿಸಿ. ಪತ್ತೆಯಾದ ಕುರುಹು ನಿಜವಾಗಿಯೂ ದುರುದ್ದೇಶಪೂರಿತವಾಗಿದೆಯೇ ಅಥವಾ ಮುಗ್ಧವಾಗಿದೆಯೇ ಎಂಬುದನ್ನು ಕಚ್ಚಾ ಸಾಕ್ಷ್ಯ ಮತ್ತು ಸಂದರ್ಭದೊಂದಿಗೆ ದೃಢೀಕರಿಸಿ.
6. ಫಲಿತಾಂಶವನ್ನು ದಾಖಲಿಸಿ ಮತ್ತು ಅದನ್ನು ನಿರ್ಣಯವಾಗಿ ಪರಿವರ್ತಿಸಿ. ಕಂಡುಬರುವ ನಿಜವಾದ ಮಾದರಿಯನ್ನು ಶಾಶ್ವತ ಪತ್ತೆ ನಿಯಮವಾಗಿ ಪರಿವರ್ತಿಸಿ; ಊಹೆಯು ವಿಫಲವಾದರೆ, ಅದನ್ನು ಸಹ ರೆಕಾರ್ಡ್ ಮಾಡಿ (ಋಣಾತ್ಮಕ ಫಲಿತಾಂಶವು ಸಹ ಮಾಹಿತಿಯಾಗಿದೆ).

ನಿಯಮಗಳು: TTP (ತಂತ್ರಗಳು, ತಂತ್ರಗಳು, ಕಾರ್ಯವಿಧಾನಗಳು — ಆಕ್ರಮಣಕಾರರ ವರ್ತನೆಯ ಮಾದರಿ). MITER ATT&CK ಆಕ್ರಮಣಕಾರರ ತಂತ್ರಗಳ ಎಣಿಸಿದ ಮತ್ತು ದಾಖಲಿತ ಗ್ರಂಥಾಲಯವಾಗಿದೆ (ಉದಾ. T1078 "ಮಾನ್ಯ ಖಾತೆಗಳು"); ಇದು ಬೆದರಿಕೆ ಬೇಟೆಯಲ್ಲಿ ಸಾಮಾನ್ಯ ಭಾಷೆಯನ್ನು ಒದಗಿಸುತ್ತದೆ. IOC (ಉಲ್ಲಂಘನೆಯ ಸೂಚಕ - ಕೆಟ್ಟ IP, ಹ್ಯಾಶ್, ಡೊಮೇನ್). ಬಿಳಿ ಶಬ್ದ (ಶ್ವೇತಪಟ್ಟಿ/ತಿಳಿದಿರುವ-ಒಳ್ಳೆಯದು) ಬೇಟೆಯನ್ನು ತ್ಯಾಗ ಮಾಡಲು ತಿಳಿದಿರುವ ಸಾಮಾನ್ಯ ನಡವಳಿಕೆಯಾಗಿದೆ.

ಬೆದರಿಕೆ ಬೇಟೆಯ ವಿಧಾನಗಳ ಕೋಷ್ಟಕ

ಅಪ್ರೋಚ್

ಆರಂಭಿಕ ಹಂತ

AI ನ ಕೊಡುಗೆ

ಗಮನ

ಕಲ್ಪನೆ ಆಧಾರಿತ ಬೇಟೆ

"ಅಂತಹ ಆಕ್ರಮಣಕಾರರಿದ್ದರೆ..."

ಕಲ್ಪನೆಯ ಉತ್ಪಾದನೆ, ಮಾದರಿ ವಿವರಣೆ

ಊಹೆಯು ಸಾಕ್ಷ್ಯವಲ್ಲ

IOC ಆಧಾರಿತ ಬೇಟೆ

ತಿಳಿದಿರುವ ಕೆಟ್ಟ ಸೂಚಕ

IOC ಗಳನ್ನು ಲಾಗ್‌ಗಳಿಗೆ ಹೊಂದಿಸಲಾಗುತ್ತಿದೆ

ಹಳೆಯ/ತಪ್ಪಾದ IOC ತಪ್ಪುದಾರಿಗೆಳೆಯುತ್ತದೆ

TTP/ATT&CK ಆಧಾರಿತ ಬೇಟೆ

ಒಂದು ತಂತ್ರ (ಟಿ-ಸಂಖ್ಯೆ)

ತಂತ್ರವನ್ನು ಲಾಗ್ ಮಾದರಿಗೆ ಪರಿವರ್ತಿಸುವುದು

ತಂತ್ರ ≠ ಏಕ ಮಾದರಿ

ಅಸಂಗತತೆ ಆಧಾರಿತ ಬೇಟೆ

ಅಂಕಿಅಂಶಗಳ ವಿಚಲನ

ಹೊರಗಿನದನ್ನು ಹೈಲೈಟ್ ಮಾಡಿ

ವ್ಯತಿರಿಕ್ತ ≠ ಕೆಟ್ಟ ನಂಬಿಕೆ

ಸ್ಟಾಕ್ ಆವರ್ತನ ವಿಶ್ಲೇಷಣೆ

"ಅಪರೂಪ ಯಾವುದು?"

ಅಪರೂಪದ ಘಟನೆಯನ್ನು ಕಂಡುಹಿಡಿಯುವುದು

ಅಪರೂಪದ ≠ ಅಪಾಯಕಾರಿ

ಮೂರು ಸಣ್ಣ ಪ್ರಕರಣಗಳು

ಪ್ರಕರಣ 1 - ಅಪರೂಪದದನ್ನು ಕಂಡುಹಿಡಿಯುವುದು. ಒಬ್ಬ ಬೇಟೆಗಾರ ಕೇಳಬಹುದು, "ಆಂತರಿಕ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಯಾವ ಪ್ರಕ್ರಿಯೆಯು ಕಡಿಮೆ ಕಂಪ್ಯೂಟರ್‌ಗಳಲ್ಲಿ ಚಲಿಸುತ್ತದೆ ಆದರೆ ಹೆಚ್ಚಿನ ನೆಟ್‌ವರ್ಕ್ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ?" ತನ್ನ ಊಹೆಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. AI ಅನಾಮಧೇಯ ಪ್ರಕ್ರಿಯೆ-ಸಂಪರ್ಕ ಡೇಟಾದಿಂದ ಮಾದರಿಯನ್ನು ಹೈಲೈಟ್ ಮಾಡುತ್ತದೆ: svchost32.exe ಹೆಸರಿನ ಪ್ರಕ್ರಿಯೆಯು ಕೇವಲ 2 ಯಂತ್ರಗಳಲ್ಲಿ ಕಂಡುಬರುತ್ತದೆ, ಇದು 340 ವಿಭಿನ್ನ ಬಾಹ್ಯ ವಿಳಾಸಗಳಿಗೆ ಸಂಪರ್ಕ ಹೊಂದಿದೆ. ಬೇಟೆಗಾರ ಇದನ್ನು ಪರಿಶೀಲಿಸುತ್ತಾನೆ; ಇದು ಕಾನೂನುಬದ್ಧ svchost.exe ಅನ್ನು ಅನುಕರಿಸುವ ಮಾಲ್‌ವೇರ್ ಅನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತದೆ. AI ಅಪರೂಪವನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಿದೆ; ಬೇಟೆಗಾರ ರೋಗನಿರ್ಣಯ ಮತ್ತು ಹಸ್ತಕ್ಷೇಪವನ್ನು ಮಾಡಿದನು.

ಪ್ರಕರಣ 2 - ವಿಫಲವಾದ (ಆದರೆ ಬೆಲೆಬಾಳುವ) ಬೇಟೆ. ಒಬ್ಬ ಬೇಟೆಗಾರ "ವ್ಯಾಪಾರವಲ್ಲದ ಸಮಯದಲ್ಲಿ ಸಾಮೂಹಿಕ ಡೇಟಾ ಡೌನ್‌ಲೋಡ್ ಆಗಬಹುದೇ?" ತನ್ನ ಊಹೆಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ; AI ಸಂಬಂಧಿತ ಪ್ರಶ್ನೆ ಡ್ರಾಫ್ಟ್ ಅನ್ನು ಬರೆಯುತ್ತದೆ. ಫಲಿತಾಂಶ: 3 ಬಳಕೆದಾರರು ರಾತ್ರಿಯಲ್ಲಿ ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದ್ದಾರೆ, ಆದರೆ ಅವರೆಲ್ಲರೂ ಸಾಗರೋತ್ತರ ಕಚೇರಿ ಕೆಲಸಗಾರರು ಮತ್ತು ಸಮಯ ವಲಯದ ವ್ಯತ್ಯಾಸಗಳಿಂದಾಗಿ ವ್ಯಾಪಾರದ ಸಮಯದಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತಾರೆ. ಊಹೆಯನ್ನು ನಿರಾಕರಿಸಲಾಗಿದೆ. ಬೇಟೆಗಾರ ಇದನ್ನು "ಋಣಾತ್ಮಕ ಫಲಿತಾಂಶ" ಎಂದು ದಾಖಲಿಸುತ್ತಾನೆ ಮತ್ತು ಭವಿಷ್ಯದ ಬೇಟೆಗೆ ವಿನಾಯಿತಿಯಾಗಿ ಈ 3 ಬಳಕೆದಾರರನ್ನು ಗಮನಿಸುತ್ತಾನೆ. ವಿಫಲ ಬೇಟೆ ಕೂಡ ಸಂಸ್ಥೆಯನ್ನು ಚೆನ್ನಾಗಿ ತಿಳಿದುಕೊಳ್ಳಲು ನಮಗೆ ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತು.

ಪ್ರಕರಣ 3 - ಕಲ್ಪಿತ ತಾಂತ್ರಿಕ ಬಲೆ. ಒಬ್ಬ ಬೇಟೆಗಾರ AI ಅನ್ನು ಕೇಳುತ್ತಾನೆ "ನನ್ನ ಸಂಸ್ಥೆಯಲ್ಲಿ T1055 ತಂತ್ರವನ್ನು ನಾನು ಹೇಗೆ ಹುಡುಕುವುದು?" ಹೇಳುತ್ತಾರೆ. AI ಮನವೊಪ್ಪಿಸುವ ಪ್ರಶ್ನೆಯನ್ನು ಬರೆಯುತ್ತದೆ ಮತ್ತು "T1055 ಕೆಳಗಿನ ಈವೆಂಟ್ ಐಡಿಯನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ" ಎಂದು ಪ್ರತಿಪಾದಿಸುತ್ತದೆ; ಆದರೆ ಅವರು ನೀಡಿದ ಈವೆಂಟ್ ಐಡಿ ತಪ್ಪಾಗಿದೆ ಮತ್ತು ಮಾದರಿಯು ATT&CK ಉಪ-ತಂತ್ರವನ್ನು ರೂಪಿಸಿದೆ. Avcı MITER ATT&CK ದಾಖಲೆಯನ್ನು ತೆರೆಯುತ್ತದೆ, ತಾಂತ್ರಿಕ ವಿವರಣೆ ಮತ್ತು ನೈಜ ಲಾಗ್ ಮೂಲಗಳನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ ಮತ್ತು ತಪ್ಪಾದ ಈವೆಂಟ್ ಐಡಿಯನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ. ಪಾಠ: AI ನೀಡುವ ಪ್ರತಿಯೊಂದು ತಾಂತ್ರಿಕ ವಿವರಗಳನ್ನು (ಈವೆಂಟ್ ಐಡಿ, ಟಿ-ಸಂಖ್ಯೆ, ಲಾಗ್ ಕ್ಷೇತ್ರ) ಅಧಿಕೃತ ಮೂಲದೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ.

ದುರ್ಬಲ ಪ್ರಾಂಪ್ಟ್ / ಬಲವಾದ ಪ್ರಾಂಪ್ಟ್

ದುರ್ಬಲ ಪ್ರಾಂಪ್ಟ್:

ನನ್ನ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಆಕ್ರಮಣಕಾರರಿದ್ದರೆ ಕಂಡುಹಿಡಿಯಿರಿ.

ಈ ಹಕ್ಕು ಊಹೆ-ಮುಕ್ತ, ಡೇಟಾ-ಮುಕ್ತ, ಅನಿಯಮಿತ ಮತ್ತು ಪರಿಶೀಲಿಸಲಾಗದು. AI ಸಾಮಾನ್ಯ ಅಥವಾ ತಯಾರಿಸಿದ ಪಟ್ಟಿಯನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ; ಇದು ಯಾವುದೇ ಉಪಯೋಗವಿಲ್ಲ.

ಶಕ್ತಿಯುತ ಪ್ರಾಂಪ್ಟ್:

ನಿಮ್ಮ ಪಾತ್ರ: ಬೆದರಿಕೆ ಬೇಟೆಗಾರನಿಗೆ ಆಲೋಚನೆಗಳು ಮತ್ತು ಬಾಹ್ಯರೇಖೆಗಳನ್ನು ನೀಡುವ ಸಹಾಯಕ. ನಿರ್ಧರಿಸಬೇಡಿ, "ಬೆದರಿಕೆ ಇದೆ" ಎಂದು ಹೇಳಬೇಡಿ. ನನ್ನ ಕಲ್ಪನೆ: "ರಾಜಿಯಾದ ಖಾತೆಯು ವ್ಯವಹಾರವಲ್ಲದ ಸಮಯದಲ್ಲಿ ಆಂತರಿಕ ಪೋರ್ಟ್‌ಗಳನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡುತ್ತಿರಬಹುದು." ಕೆಳಗಿನವುಗಳನ್ನು ರಚಿಸಿ: (1) ಈ ಊಹೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಮತ್ತು ನಿರಾಕರಿಸುವ ಲಾಗ್ ಮೂಲಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ, (2) ಹುಡುಕಬೇಕಾದ ಕಾಂಕ್ರೀಟ್ ಮಾದರಿಯನ್ನು ವಿವರಿಸಿ (ಯಾವ ಕ್ಷೇತ್ರಗಳು, ಯಾವ ಮಿತಿಗಳು), (3) ಒಂದು ಉದಾಹರಣೆ ಪ್ರಶ್ನೆಯ ಕರಡು ಬರೆಯಿರಿ ಮತ್ತು ಪ್ರತಿ ಸಾಲನ್ನು ಕಾಮೆಂಟ್ ಮಾಡಿ, (4) ಫಲಿತಾಂಶದ ಫಲಿತಾಂಶದಲ್ಲಿ ಯಾವ ಮುಗ್ಧ ವಿವರಣೆಗಳನ್ನು ತೆಗೆದುಹಾಕಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ಬರೆಯಿರಿ. ಸಂಬಂಧಿತ MITER ATT&CK ತಂತ್ರವನ್ನು ಸೂಚಿಸಿ, ಆದರೆ T-ಸಂಖ್ಯೆ ಮತ್ತು ಈವೆಂಟ್ ಐಡಿಯನ್ನು "[MITER ನಿಂದ ಪರಿಶೀಲಿಸಬೇಕು]" ಎಂದು ಗುರುತಿಸಿ, ಅದನ್ನು ರೂಪಿಸಬೇಡಿ.

ಬಲವಾದ ಹಕ್ಕು ಒಂದು ಕಾಂಕ್ರೀಟ್ ಊಹೆಯೊಂದಿಗೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಸಾಕ್ಷ್ಯ/ನಿರಾಕರಣೆಗಳ ಸಮತೋಲನವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ, ಪ್ರಶ್ನೆಯನ್ನು ವಿವರಿಸಲಾಗಿದೆ ಮತ್ತು ತಾಂತ್ರಿಕ ವಿವರವನ್ನು ಪರಿಶೀಲನೆಗೆ ಬಿಡುತ್ತದೆ.

ನಕಲು ಮಾಡಬಹುದಾದ ಪ್ರಾಂಪ್ಟ್ ಟೆಂಪ್ಲೇಟ್‌ಗಳು

ನನ್ನ ಸಂಸ್ಥೆಗಾಗಿ ಕಲ್ಪನೆಯ ಪೀಳಿಗೆಯ ಟೆಂಪ್ಲೇಟ್ [ಎಂಟಿಟಿ: ಉದಾ. [ಸಕ್ರಿಯ ಡೈರೆಕ್ಟರಿ / ಕ್ಲೌಡ್ / ಎಂಡ್‌ಪಾಯಿಂಟ್] 5 ರ ಸಂದರ್ಭದಲ್ಲಿ ಪರೀಕ್ಷಿಸಬಹುದಾದ ಬೆದರಿಕೆ ಬೇಟೆಯ ಕಲ್ಪನೆಗಳನ್ನು ರಚಿಸಿ. ಪ್ರತಿ ಊಹೆಗೆ: (1) ಇದು ಯಾವ ಆಕ್ರಮಣಕಾರರ ನಡವಳಿಕೆಯನ್ನು ಗುರಿಪಡಿಸುತ್ತದೆ, (2) ಯಾವ ಲಾಗ್ ಮೂಲವು ಪುರಾವೆ/ನಿರಾಕರಣೆಯನ್ನು ಒದಗಿಸುತ್ತದೆ, (3) ನಿರೀಕ್ಷಿತ ಮಾದರಿ. ಪರೀಕ್ಷಿಸಬಹುದಾದ ವಾಕ್ಯಗಳನ್ನು ಮಾಡಿ, ಸಾಮಾನ್ಯ ಪದಗಳಿಗಿಂತ ಅಲ್ಲ.

ಟೆಕ್ನಿಕ್ ಪ್ಯಾಟರ್ನ್ ಪ್ಯಾಟರ್ನ್ ನನ್ನ [ತಂತ್ರಜ್ಞಾನದ ಹೆಸರು] ಸಂಸ್ಥೆಯಲ್ಲಿ ನಾನು ಈ ಕೆಳಗಿನ ದಾಳಿ ತಂತ್ರವನ್ನು ಹುಡುಕುತ್ತೇನೆ. ರಚಿಸಿ: (1) ತಂತ್ರವು ವಿಶಿಷ್ಟವಾಗಿ ಅದರ ಗುರುತು ಬಿಡುವ ಲಾಗ್ ಪ್ರದೇಶಗಳು, (2) ಕಾಂಕ್ರೀಟ್ ಮಾದರಿಗಳು ಮತ್ತು ನೋಡಲು ಮಿತಿಗಳು, (3) ಈ ಮಾದರಿಯನ್ನು ಪ್ರಚೋದಿಸುವ ಮುಗ್ಧ (ತಪ್ಪು ಧನಾತ್ಮಕ) ಸನ್ನಿವೇಶಗಳು. ಆಫರ್ ಸಂಬಂಧಿತMITRE ATT&CK T-ಸಂಖ್ಯೆ ಆದರೆ "[MITER ನಿಂದ ಪರಿಶೀಲಿಸಬೇಕು]" ಫ್ಲ್ಯಾಗ್ ಜೊತೆಗೆ; ಫ್ಯಾಬ್ರಿಕೇಟೆಡ್ ಈವೆಂಟ್ ಐಡಿ/ಸಂಖ್ಯೆಯನ್ನು ನೀಡಬೇಡಿ.

QUERY DRAFT TEMPLATEಕೆಳಗಿನ ನಮೂನೆಗಾಗಿ ನೋಡುವ [SIEM/KQL/SQL] ಪ್ರಶ್ನೆ ಡ್ರಾಫ್ಟ್ ಅನ್ನು ಬರೆಯಿರಿ: [ಮಾದರಿ ವಿವರಣೆ]. ಪ್ರತಿ ಸಾಲನ್ನು ಕಾಮೆಂಟ್ ಮಾಡಿ, ನೀವು ಯಾವ ಕ್ಷೇತ್ರವನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುತ್ತಿದ್ದೀರಿ ಮತ್ತು ಏಕೆ ಎಂಬುದನ್ನು ವಿವರಿಸಿ ಮತ್ತು ಕಾರ್ಯಕ್ಷಮತೆಯ ಅಪಾಯಗಳನ್ನು ಗುರುತಿಸಿ. ನಾನು ಪ್ರಶ್ನೆಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತೇನೆ ಮತ್ತು ಅದನ್ನು ರನ್ ಮಾಡುತ್ತೇನೆ; ನೀವು ಅದನ್ನು ಚಲಾಯಿಸುತ್ತೀರಿ ಎಂದು ಭಾವಿಸಬೇಡಿ. ನನಗೆ ತಿಳಿದಿರುವ ಸ್ಕೀಮ್ ಪ್ರಕಾರ "[ಸ್ಕೀಮಾಕ್ಕೆ ಸರಿಯಾಗಿ]" ಎಂದು ಗುರುತಿಸಲಾದ ಕ್ಷೇತ್ರದ ಹೆಸರುಗಳನ್ನು ಬಿಡಿ.

ಫಲಿತಾಂಶವನ್ನು ತೆಗೆದುಹಾಕುವ ಟೆಂಪ್ಲೇಟ್ ನನ್ನ ಬೇಟೆಯ ಫಲಿತಾಂಶವು ಈ ಕೆಳಗಿನ ಸಾಲುಗಳನ್ನು ನೀಡಿದೆ (ಅನಾಮಧೇಯ): [ಅಂಟಿಸಿ]. ಅವುಗಳನ್ನು ಗುಂಪು ಮಾಡಿ, ಮತ್ತು ಪ್ರತಿ ಗುಂಪಿಗೆ (1) ದುರುದ್ದೇಶಪೂರಿತ ಸನ್ನಿವೇಶ, (2) ಕನಿಷ್ಠ 2 ಮುಗ್ಧ ವಿವರಣೆಗಳು ಮತ್ತು (3) ಪ್ರತ್ಯೇಕಿಸಲು ಹೆಚ್ಚುವರಿ ಪುರಾವೆಗಳನ್ನು ಬರೆಯಿರಿ. ನಿರ್ಧಾರ ತೆಗೆದುಕೊಳ್ಳುವುದು; ನಿನ್ನನ್ನು ಬೇರ್ಪಡಿಸಲು ನನಗೆ ಬಿಡಬೇಡ. ಯಾವುದೇ ಪುರಾವೆಗಳಿಲ್ಲದ ಕ್ಲೈಮ್‌ಗೆ "[ಯಾವುದೇ ಆಧಾರವಿಲ್ಲ]" ಎಂದು ಗುರುತಿಸಿ.

ಸಾಮಾನ್ಯ ತಪ್ಪುಗಳು

• ಊಹೆಗಳಿಲ್ಲದೆ ಬೇಟೆಯಾಡುವುದು. "ಏನನ್ನಾದರೂ ಹುಡುಕಿ" ಎಂದು ಹೇಳುವುದು AI ಅನ್ನು ಊಹಿಸಲು ಮತ್ತು ರೂಪಿಸಲು ತಳ್ಳುತ್ತದೆ; ಬೇಟೆಯು ಕಾಂಕ್ರೀಟ್, ಪರೀಕ್ಷಿಸಬಹುದಾದ ವಾಕ್ಯದೊಂದಿಗೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ.
• ಪುರಾವೆಗಾಗಿ ಊಹೆಯನ್ನು ತಪ್ಪಾಗಿ ಗ್ರಹಿಸುವುದು. ಬೇಟೆ ಸಾಧ್ಯತೆಯನ್ನು ಪರೀಕ್ಷಿಸುತ್ತದೆ; ಕಚ್ಚಾ ಸಾಕ್ಷ್ಯದಿಂದ ದೃಢೀಕರಿಸುವವರೆಗೂ ಪತ್ತೆಯಾದ ಕುರುಹು "ಬೆದರಿಕೆ" ಅಲ್ಲ.
• ವಿರುದ್ಧವಾದದ್ದನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಕೆಟ್ಟದಾಗಿ ಪರಿಗಣಿಸುವುದು. ಅಪರೂಪದ/ಹೊರಗಿನವರು ಸಾಮಾನ್ಯವಾಗಿ ಮುಗ್ಧರಾಗಿರುತ್ತಾರೆ (ನಿರ್ವಹಣೆ, ಹೊಸ ಸಾಫ್ಟ್‌ವೇರ್, ಒಂದು-ಆಫ್ ಕೆಲಸ); ಸಂದರ್ಭದೊಂದಿಗೆ ಶೋಧಿಸಿ.
• ತಾಂತ್ರಿಕ ವಿವರಗಳನ್ನು ಪರಿಶೀಲಿಸುತ್ತಿಲ್ಲ. AI ಈವೆಂಟ್ ಐಡಿ, ಟಿ-ಸಂಖ್ಯೆ ಮತ್ತು ಲಾಗ್ ಫೀಲ್ಡ್ ಅನ್ನು ಹೊಂದಿಸಬಹುದು; MITER ATT&CK ಮತ್ತು ಉತ್ಪನ್ನ ದಾಖಲಾತಿಯೊಂದಿಗೆ ದೃಢೀಕರಿಸಿ.
• ವ್ಯರ್ಥವಾದ ಕ್ಯಾಚ್ ಅನ್ನು ಎಸೆಯುವುದು. ಋಣಾತ್ಮಕ ಫಲಿತಾಂಶವು ಸಹ ಜ್ಞಾನವಾಗಿದೆ: ಸಂಸ್ಥೆಯನ್ನು ಚೆನ್ನಾಗಿ ತಿಳಿದುಕೊಳ್ಳುತ್ತದೆ, ಭವಿಷ್ಯದ ತಪ್ಪು ಧನಾತ್ಮಕತೆಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ; ದಾಖಲೆ.

ಸಲಹೆ: ಉತ್ತಮ ಬೆದರಿಕೆ ಬೇಟೆಯ ಊಹೆಯು "ಪರೀಕ್ಷಿಸಬಹುದಾದ" ಆಗಿರಬೇಕು: ಒಂದು ಕಾಂಕ್ರೀಟ್ ಹಕ್ಕು ನಿಜ ಅಥವಾ ತಪ್ಪು ಎಂದು ಹೊರಹೊಮ್ಮಬಹುದು. "ನನ್ನ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಏನಾದರೂ ಕೆಟ್ಟದ್ದೇ?" ಪರೀಕ್ಷಿಸಲಾಗುವುದಿಲ್ಲ; "ಖಾತೆ X ವ್ಯಾಪಾರೇತರ ಸಮಯದಲ್ಲಿ 50 ಕ್ಕೂ ಹೆಚ್ಚು ಆಂತರಿಕ IP ಗಳಿಗೆ ಸಂಪರ್ಕಗೊಂಡಿದೆಯೇ?" ಪರೀಕ್ಷೆ ಮಾಡಬಹುದು.

ಗಮನ: ಬೆದರಿಕೆ ಬೇಟೆಯನ್ನು ನೀವು ಮಾಡಲು ಅಧಿಕಾರ ಹೊಂದಿರುವ ಸಿಸ್ಟಂಗಳಲ್ಲಿ ಮಾತ್ರ ಮಾಡಲಾಗುತ್ತದೆ. ನೀವು ಅನುಮತಿಯನ್ನು ಹೊಂದಿರದ ಇನ್ನೊಂದು ಸಂಸ್ಥೆ, ವ್ಯಕ್ತಿ ಅಥವಾ ನೆಟ್‌ವರ್ಕ್ ಅನ್ನು "ತನಿಖೆ" ಮಾಡಲು AI ಅನ್ನು ಕೇಳುವುದು ಅನಧಿಕೃತ ಪ್ರವೇಶವನ್ನು ಪಡೆಯುವ ಪ್ರಯತ್ನವಾಗಿದೆ ಮತ್ತು ಇದು ಈ ಮಾಡ್ಯೂಲ್‌ನಿಂದ ಹೊರಗಿದೆ.

ಸಾರಾಂಶದಲ್ಲಿ

ಬೆದರಿಕೆ ಬೇಟೆಯು ಅಲಾರಾಂಗಾಗಿ ಕಾಯದೆ ಗುಪ್ತ ದಾಳಿಕೋರನ ಕುರುಹುಗಳನ್ನು ಪೂರ್ವಭಾವಿಯಾಗಿ ಹುಡುಕುತ್ತಿದೆ ಮತ್ತು ಇದು ಒಂದು ಊಹೆಯೊಂದಿಗೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಎಚ್ಚರಿಕೆ ಅಲ್ಲ. ಈ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ AI ಎರಡು ಶಕ್ತಿಶಾಲಿ ಕೊಡುಗೆಗಳನ್ನು ನೀಡುತ್ತದೆ: ಪರೀಕ್ಷಿಸಬಹುದಾದ ಊಹೆಗಳು ಮತ್ತು ಪ್ರಶ್ನೆ ಡ್ರಾಫ್ಟ್‌ಗಳನ್ನು ರಚಿಸುವುದು ಮತ್ತು ದೊಡ್ಡ ಡೇಟಾದಿಂದ ಅಪರೂಪದ/ಹೊರಗಿನ ಸಂಕೇತಗಳನ್ನು ಫಿಲ್ಟರ್ ಮಾಡುವುದು. ಆದರೆ AI ನಿಮ್ಮ ಸಂಸ್ಥೆಗೆ ಏನು ಸಾಮಾನ್ಯ ಎಂದು ತಿಳಿದಿಲ್ಲ, ಇದು ತಾಂತ್ರಿಕ ವಿವರಗಳನ್ನು ರಚಿಸಬಹುದು ಮತ್ತು ಸಾಕ್ಷ್ಯಕ್ಕಾಗಿ ಊಹೆಯನ್ನು ತಪ್ಪಾಗಿ ಗ್ರಹಿಸುವ ಬಲೆಗೆ ಬೀಳಬಹುದು. ಆದ್ದರಿಂದ ಬೇಟೆಯು ಆರು ಹಂತಗಳನ್ನು ಹೊಂದಿದೆ (ಊಹೆ, ಡೇಟಾ, ಪ್ರಶ್ನೆ, ಸಾರ, ಪರಿಶೀಲನೆ, ದಾಖಲೆ) ಮತ್ತು ಪ್ರತಿ ಹಂತದಲ್ಲೂ ನಿರ್ಧಾರವು ಬೇಟೆಗಾರನಿಗೆ ಬಿಟ್ಟದ್ದು. ಕಾಂಟ್ರಾರಿಯನ್ ≠ ಕೆಟ್ಟದು, ಊಹೆ ≠ ಪುರಾವೆಗಳು, AI ನೀಡಿದ ತಾಂತ್ರಿಕ ವಿವರಗಳು ≠ ಸರಿಯಾಗಿವೆ; ಎಲ್ಲಾ ಕಚ್ಚಾ ಪುರಾವೆಗಳು ಮತ್ತು MITER ATT&CK ಮೂಲಕ ದೃಢೀಕರಿಸಲಾಗಿದೆ.

ಅಪ್ಲಿಕೇಶನ್ ಕಾರ್ಯ

ನಿಮ್ಮ ಸ್ವಂತ ಸಂಸ್ಥೆಗಾಗಿ (ಅಥವಾ ಮಾದರಿ ಪರಿಸರ) "ಹೈಪೋಥೆಸಿಸ್ ಜನರೇಷನ್" ಟೆಂಪ್ಲೇಟ್‌ನೊಂದಿಗೆ AI ನಿಂದ 5 ಬೆದರಿಕೆ ಬೇಟೆಯ ಕಲ್ಪನೆಗಳನ್ನು ಪಡೆಯಿರಿ. ಹೆಚ್ಚು ಪರೀಕ್ಷಿಸಬಹುದಾದದನ್ನು ಆರಿಸಿ, "ಪ್ಯಾಟರ್ನ್ ಟೆಕ್ನಿಕ್" ಮತ್ತು "ಕ್ವೆರಿ ಡ್ರಾಫ್ಟ್" ಟೆಂಪ್ಲೇಟ್‌ಗಳೊಂದಿಗೆ ಪ್ರಶ್ನೆಯನ್ನು ಡ್ರಾಫ್ಟ್ ಮಾಡಿ, ಪ್ರಶ್ನೆಯಲ್ಲಿನ ಪ್ರತಿ ಸಾಲನ್ನು ಮೌಲ್ಯೀಕರಿಸಿ ಮತ್ತು MITER ATT&CK ನಲ್ಲಿ ಪ್ರತಿ ಸಲಹೆ T-ಸಂಖ್ಯೆಯನ್ನು ಮೌಲ್ಯೀಕರಿಸಿ. ಸಣ್ಣ ಬೇಟೆಯ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಫಲಿತಾಂಶವನ್ನು ಬರೆಯಿರಿ (ಊಹೆಯನ್ನು ದೃಢೀಕರಿಸಲಾಗಿದೆ, ನಿರಾಕರಿಸಲಾಗಿದೆ, ನೀವು ಏನು ಕಲಿತಿದ್ದೀರಿ).

ಪರಿಶೀಲನಾಪಟ್ಟಿ

• [ ] ನಾನು ನನ್ನ ಬೇಟೆಯನ್ನು ಕಾಂಕ್ರೀಟ್, ಪರೀಕ್ಷಿಸಬಹುದಾದ ಊಹೆಯೊಂದಿಗೆ ಪ್ರಾರಂಭಿಸಿದೆ.
• [ ] ನಾನು ಊಹೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಮತ್ತು ನಿರಾಕರಿಸುವ ಲಾಗ್ ಮೂಲಗಳನ್ನು ಗುರುತಿಸಿದ್ದೇನೆ.
• [ ] ನಾನು ಪ್ರಶ್ನೆ ಡ್ರಾಫ್ಟ್‌ನ ಪ್ರತಿ ಸಾಲನ್ನು ಪರಿಶೀಲಿಸಿದ್ದೇನೆ ಮತ್ತು ಅದನ್ನು ನನ್ನ ಸ್ವಂತ ಸ್ಕೀಮಾಗೆ ಅಳವಡಿಸಿಕೊಂಡಿದ್ದೇನೆ.
• [ ] ನಾನು ಉದ್ದೇಶಿತ MITER ATT&CK ತಂತ್ರ ಮತ್ತು ಈವೆಂಟ್ ಐಡಿಗಳನ್ನು ಅಧಿಕೃತ ಮೂಲದೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿದ್ದೇನೆ.
• [ ] ನಾನು ಪ್ರತಿ ಸಂಕೇತವನ್ನು ಕಚ್ಚಾ ಪುರಾವೆಗಳು ಮತ್ತು ಸಂದರ್ಭದೊಂದಿಗೆ ದೃಢಪಡಿಸಿದೆ; ವ್ಯತಿರಿಕ್ತವಾದುದನ್ನು ನಾನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಕೆಟ್ಟದ್ದೆಂದು ಪರಿಗಣಿಸಲಿಲ್ಲ.
• [ ] ನಾನು ವಿಫಲವಾದ ಊಹೆಯನ್ನು ಸಹ ದಾಖಲಿಸಿದ್ದೇನೆ (ಋಣಾತ್ಮಕ ಫಲಿತಾಂಶವು ಮಾಹಿತಿಯಾಗಿದೆ).
• [ ] ನಾನು ಬೇಟೆಯಾಡಲು ಅಧಿಕಾರ ಹೊಂದಿರುವ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ಮಾತ್ರ ಬೇಟೆಯಾಡಿದ.