Пайдалар:
- Жасалма интеллект менен бир нече убакыт белгилеринин булактарын бир шилтемеге (UTC) нормалдаштыруу жана супер хронологиядагы аномалияларды жана боштуктарды белгилөө мүмкүнчүлүгү
- Корреляция менен себептүүлүктүн ортосундагы айырмачылыкты жана ар бир окуяны анын булагына туташтыруу менен жасалма интеллект тарабынан түзүлгөн баянды текшерүү жөндөмү
- Таймтампинг, сааттын жылышы жана журнал боштуктары сыяктуу тобокелдиктерди таануу жана аларды бир нече булактар менен ырастоо мүмкүнчүлүгү
Кибер окуя чындыгында качан, кантип жана кандай тартипте болорун айтып турган бир гана нерсе бар: убакыт. Чабуулчу системага киргенде, ал кайсы файлга тийген жана качан, ал маалыматтарды эксфильтрациялаганда — мунун баары ар кандай журналдарда (система окуяларды жаза турган файлдарды жазуу) жана ар кандай убакыт белгилеринде (убакыт белгиси — окуя болгон күн менен убакыттын жазуусу) сакталат. Убакыт графигин талдоо бул чачыранды убакыт белгилерин бир хронологиялык баяндашат жана "эмне болду?" Бул суроого жооп берүү искусствосу. Бул бөлүмдө биз AI кантип бул башаламан маалыматтарды уюштурууда чоң ылдамдыкты камсыздай турганын жана ал сизди кайдан адаштырышы мүмкүн экенин көрөбүз.
Убакыт белгилеринин көптүгү жана тузактары
Ал тургай, бир файлда бир нече убакыт белгилери бар. Мисалы, файл тутумунда MACB штамптары бар: Өзгөртүлгөн, Мүмкүн болгон, Өзгөрүлгөн, Туулган. Мындан тышкары, операциялык системанын окуялар журналдары (Windows Event Log), веб-сервер журналдары, брандмауэр журналдары, тиркемелер журналдары жана реестр (Windows реестри - система жана тиркеме орнотуулары сакталган иерархиялык маалымат базасы) жазуулары бар.
Эң чоң тузак - бул убакыт алкагы жана убакыттын өзгөрүшү. Бир журналда UTC (координацияланган универсалдуу убакыт), экинчисинде жергиликтүү убакыт жазылат; системанын сааты туура эмес коюлган болушу мүмкүн; Чабуулчу убакыт белгилерин атайылап манипуляциялаган болушу мүмкүн (timestomping — файлдын убакыт белгилерин бурмалоо). Ошентип, убакыт тилкесин белгилөөдөн мурун, ар бир булактын убакыт алкагы жана саат тактыгы аныкталышы керек, бардыгы жалпы маалымдамага (көбүнчө UTC) нормалдаштырылган.
Эскертүү: Эки журналды ар кайсы мезгилде жанаша коюп, "бир эле учурда болгон" деп айтуу классикалык жаңылыштык. Корреляциядан мурун бардык убакыт белгилерин бир шилтемеге айландыруу; Болбосо, AI (жана сиз) тарабынан белгиленген себеп-натыйжа байланышы башынан эле чириген.
Супер убакыт тилкеси жана AI
Компьютердик криминалистикада бул булактардын бардыгын бириктирген түзүм супер хронология деп аталат; Ал көбүнчө Plaso/log2timeline сыяктуу куралдар менен түзүлөт жана он миңдеген, атүгүл миллиондогон саптар болушу мүмкүн. Бул жерде AI пайда болот: бул чоң диаграммада маанилүү үлгүлөрдү жана аномалияларды белгилөө.
AIнын коопсуз салымдары:
- Аномалияны белгилөө: сааттан тышкаркы кирүү, артыкчылыктардын күтүлбөгөн жерден күчөшү, адаттан тыш процесс чынжырчасы, кыска аралыкта бир нече ишке ашпай калган кирүү.
- Окуяларды кластерлөө: Бир эле убакыт терезесинде топтолгон окуяларды топтоо жана аларды "бул жерде бир нерсе болду" деп белгилөө.
- Баяндоо схемасы: Текшерилген окуяларды жөнөкөй тилде хронологиялык окуяга которуу (отчеттун биринчи долбоору).
- Боштуктарды аныктоо: "Бул 40 мүнөттүк интервалда журналдар жок — алар жок кылынышы мүмкүнбү?" сыяктуу кемчиликтерди сурап.
Ар биринде AI гипотезаларды жаратат; Сиз себептүүлүк жана далилдик маанини далилдейсиз.
Кеңеш: AIга убакыт тилкесин берип жатып, адегенде ага убакыт алкагын жана форматын ачык айтыңыз: "Бардык убакыт белгилери UTC, ISO 8601 форматында." Алгач аралаш форматтарды нормалдаштыруу; AI форматын болжолдоого мүмкүнчүлүк берүү катага чакыруу болуп саналат.
Корреляция себептүүлүк эмес
Убакытты талдоодогу эң коркунучтуу логикалык жаңылыштык – бул мураскерликти себеп-натыйжа деп ойлоо. "USB 22:10до салынды, файл 22:12де көчүрүлдү" эки окуя катары менен болушу мүмкүн, бирок алар бир эле адам муну бир эле максатта жасаганын далилдей албайт; Башка түшүндүрмө болушу мүмкүн. AI эркин баянды түзүп жатканда, ал бул боштукту көрбөйт жана "Маалымат USB аркылуу уурдалган" сыяктуу так сүйлөмдү чыгара алат. Эксперттин милдети – альтернативдүү түшүндүрмөлөрдү жок кылуу жана ар бир кадамды көз карандысыз далилдер менен колдоо.
үч мини учурлар
1-жагдай - Сааттын жылышы кармалды. Бир учурда, веб-сервер журналы менен брандмауэр журналы 3 саат бою башкача көрүнгөн. Биринчи долбоордо AI бул "эки өзүнчө чабуулду" караган. Эксперт сервердин убакыт алкагы туура эмес коюлганын аныктады; Качан нормалдаштырылган, эки журнал бир окуяга туура келет. 3 сааттык "фантомдук айырма" жок болуп кетти.
2-жагдай - боштук жок кылууну көрсөттү. 1,1 миллион сап супер хронологиясында AI 02:30-03:10 ортосунда эч кандай жазуу жок деп белгиледи. Эксперт карап чыкты: Бул терезеде коопсуздук журналдары атайылап тазаланган (журналдарды тазалоо). Боштуктун өзү кол салуунун эң күчтүү далилинин бири болуп калды.
3-жагдай - Галлюцинация окуяны ойлоп чыгарган. Жыйынтык жасап жатып, YZ: "Администратордук эсеп саат 03:45те түзүлдү" деди. Эксперт булакты карады: мындай Окуя ID жок болчу — Windows журналдарындагы окуянын түрүн көрсөткөн сан; AI эки башка линияны бириктирип, болбогон окуяны жаратты. Булак менен байланыштыруу кадамы жалган баяндын алдын алды.
Көчүрүү үчүн төрт шаблон
1) Убакытты нормалдаштыруу планы:
Сиздин ролу: соттук хронология талдоочусу. Мен сизге ар кандай булактардан убакыт белгилерин берем (форматтар жана убакыт аралыгы ар кандай болушу мүмкүн). Алгач ар бир булактын форматын жана убакыт алкагын аныктаңыз, андан кийин алардын баарын UTC/ISO 8601ге айландыруу планын түзүңүз. Сиз ишенбеген убакыт алкагын "тастыктоо керек" деп белгилеңиз.
2) Аномалияларды белгилөө:
Контекст: ишкана сервери, кадимки иш убактысы 08:00-18:00 (UTC+3). Мен сизге нормалдаштырылган окуялардын тизмесин берем. Тизмеде ЧЫНЫГЫДА пайда болгон жазууларга гана таянып, төмөнкүлөрдү белгилеңиз: сааттан тышкаркы кирүү, артыкчылыктарды жогорулатуу, бир нече жолу ишке ашпай калган кирүү, адаттан тыш процесс чынжырчасы. Ар бир белги үчүн тиешелүү сапты келтириңиз. интерпретация/себепти кошуу; Мен ага баа берем.
3) Баяндаманын схемасы (баяндама үчүн):
Төмөндө МЕН ТЕКШЕРГЕН окуялар бар (ар бири өз булагы менен). Аларды жөнөкөй, хронологиялык баянга айлантыңыз. Мен берген окуяларды гана колдонуңуз; жаңы окуяны, божомолду же себептүүлүктү кошуу. Аларды "мүмкүн" деп мүнөздөгөн тилде бүдөмүк байланыштарды жазыңыз.
4) боштуктарды жана карама-каршылыктарды сканерлөө:
Бул нормалдаштырылган хронологияда: (1) күтүлүп жаткан, бирок жок болуп көрүнгөн журнал мезгилдерин белгилеңиз, (2) иштебей калган жазууларды (келечектен өткөнгө), (3) партия/автоматтык түрдө пайда болгон чокулар. Ар бирин тиешелүү сап аралыктары менен көрсөтүү. Булар жок кылуунун/манипуляциянын БЕЛГИЛЕРИ болушу мүмкүн, бирок далил боло албайт.
Алсыз тездик / Күчтүү тездик
Алсыз билдирүү:
Бул журналдарды жыйынтыктап, эмне болгонун түшүндүрүңүз.
Убакыт алкагы, булагы же "чыныгы жаздыруу гана" чектөөлөрү жок; AI эркин, бирок ойдон чыгарылган окуяны кура алат.
Күчтүү билдирүү:
Сиздин ролуңуз: соттук журнал аналитик. Булак: 3 журнал (Windows Коопсуздук, Apache мүмкүнчүлүгү, брандмауэр), бардыгы UTC, ISO 8601ге нормалдаштырылган. Тапшырма: 14-март 21:00-23:00 окуяларды хронологиялык тизмектеп, берилген саптардын негизинде гана; анын булагы жана Окуя ID/коду менен ар бир сапты келтириңиз. Корреляцияны орнотуу, себептүүлүк байланышты талап кылуу; Мен комментарий берем. Сиз көргөн интервалдарды өзүнчө жок же адаттан тыш деп белгилеңиз.
Булак, нормалдаштырылган шилтеме, "берилген катар гана" жана "себептүүлүк байланышты орнотуу" чектөөлөрү чыгарууну корголгон кылат.
Убакыт белгиси булактарынын таблицасы
Булак
Мисал убакыт белгиси
Көңүл буруңуз
Файл системасы (MACB)
Өзгөртүү/кирүү/түзүү
Таймашка ачык
Windows окуялар журналы
Кирүү, процесс, тейлөө окуялары
Окуянын идентификаторун текшерүү
веб-сервер журналы
суроо убактысы
убакыт алкагын текшерүү
брандмауэр/тармак
байланыш, четке кагуу
Саатты синхрондоштуруу (NTP)
Реестр
Акыркы жазуу убактысы
Комментарий эксперттикти талап кылат
Колдонмо/браузер
тарых, кэш
жергиликтүү убакыт болушу мүмкүн
Жалпы каталар
- Убакытты нормалдаштырбастан корреляцияны орнотуу. Ар кандай тилкелер жалган "шаакештикти" жаратат.
- Себептик байланышты жаңылыштык. Убактылуу окуялар бир эле кылмышкерди/максатты билдирбейт.
- Убакыт белгисине абсолюттук ишеним. Timestomping жана туура эмес убакыт болушу мүмкүн; Бир нече булактар менен ырастаңыз.
- AI чогултулган окуяны текшерүү эмес. Эки саптын биригүүсү болбогон окуяны жаратышы мүмкүн.
- боштуктарды этибарга албоо. Жок журнал көбүнчө эң маанилүү далил болуп саналат.
Кыскача айтканда
Хронологияны талдоо - бул чачыранды убакыт белгилерин бир текшерилүүчү хронологияга бириктирүү актысы. AI аномалияларды белгилөөдө, кластерлөөдө, боштуктарды аныктоодо жана миллион саптык супер хронологияда баяндоодо чоң ылдамдыкты камсыз кылат. Бирок убакыт аралыгын нормалдаштыруу, корреляциялык-себептик айырмалоо, ар бир окуяны булакка ыйгаруу адамдарга таандык. AI гипотезаларды жаратат; Сотто хронологияны сиз коргоп жатасыз.
Колдонмо тапшырмасы
Ар кандай форматта жана убакыт алкагында 15-20 саптан турган үлгүдөгү окуялардын тизмесин даярдаңыз (атайылап убакыттын жылышын жана боштукту камтыйт). Адегенде алардын баарын "Убакытты нормалдаштыруу планы" шаблону менен UTCге которуңуз. Андан кийин "Аномалияларды белгилөө" жана "Боштондуктарды сканерлөө" шаблондорун колдонуңуз жана булактан AI тарабынан жазылган сааттын жылышын жана боштукту текшериңиз.
текшерүү тизмеси
- [ ] Мен бардык убакыт белгилерин бир шилтемеге (UTC) нормалаштырдым.
- [ ] Ар бир окуяны анын булагы менен байланыштырдым (файл/Окуя ID/сызык).
- [ ] Корреляция менен себеп байланышын ажыраттым; Мен альтернативалуу түшүндүрмөлөрдү карап чыктым.
- [ ] Мен журнал боштуктарын жана адаттан тыш жазууларды белгиледим.
- [ ] Мен баштапкы жазууда AI бириктирген / жыйынтыктаган окуяларды тастыктадым.