Пайдалар:
- Жасалма интеллект миңдеген лог линияларын жыйынтыктап, топтоп, хронологиясын түзүп, шектүү схемаларды баса белгилей турганын түшүнүңүз, бирок талдоочу окуя чийки журнал менен болгон чыныгы чабуул деп чечет.
- SIEM сигнализациясын баалоодо баштапкы абалды (нормалдуу жүрүм-турумду) колдонуу мүмкүнчүлүгү жана контекстсиз жалган позитивдерди кантип жок кылуу керек жана аномалияны кантип чечмелөө мүмкүн эмес
- Чийки журналда жасалма интеллект тарабынан түзүлгөн окуялардын чынжырын текшерүү жана жалган корреляцияларды жок кылуу адатына ээ болуу мүмкүнчүлүгү
Коопсуздук боюнча талдоочу күнүнүн көбүн журналдарды окуу менен өткөрөт. Журнал - бул системада эмне болгонун белгилеген тексттин сабы: ким качан кирген, кайсы файлга кирилген, кайсы байланыш четке кагылган. Маселе дөңгөлөктүн өтө аздыгында эмес, анын ушунчалык көп болушунда, аны муунтуп жатканында. Орто өлчөмдөгү уюм күнүнө жүз миллиондогон лог линияларын чыгарат. Бул үймөктө чыныгы чабуулдун изи чөптөгү ийне. SIEM (Security Information and Event Management - бир борбордо ар кандай булактардан алынган журналдарды чогултуучу жана байланыштырган жана эрежеге негизделген сигналдарды чыгарган система) бул ийнени табуу үчүн бар; бирок SIEM чыгарган ойготкучтардын көбү да жалган позитивдер (чындыгында коркунуч эмес пайдасыз сигналдар). Аналитиктин чыныгы иши бул ызы-чуудан чыныгы сигналды алуу.
Жасалма интеллект бул сорттоодо күчтүү жардамчы болуп саналат. Ал секунданын ичинде миңдеген лог саптарын окуй алат жана аларды адам тилинде жыйынтыктап, кайталануучу үлгүлөрдү топтой алат, окуялардын чынжырын "адегенде мындай болду, анан тиги" деп сүрөттөп, коңгуроо эмне үчүн шектүү көрүнөрүн түшүндүрөт. Бирок AI журналдын мекеменин контекстинде эмнени билдирерин билбейт: "саат 3тө кирүү" - бул бир мекемедеги чабуул, экинчисинде түнкү нөөмөт. Ошентип, AI журналды жыйынтыктап, белгилейт, бирок талдоочу окуянын чыныгы чабуулбу же жокпу, чечет жана аны чийки журнал менен текшерет.
Журналды талдоо кадамдары
Бул жерде сиз AI менен этап-этабы менен журналды/SIEM анализин кантип иштетесиз:
- Чогултуңуз жана анонимдүү кылыңыз. Тиешелүү журнал фрагментин алып салуу; чыныгы IP'дерди, колдонуучу атын, ички хост атын толтургучтар менен алмаштырыңыз (USER_A, IC_IP_1). Эч качан чийки маалыматты тышкы куралга экспорттобоңуз.
- Контекстти бериңиз. AI журналынын булагын (брандмауэр, Windows окуялар журналы, веб-сервер), кадимки жүрүм-турум деген эмне экенин жана эмнени издеп жатканыңызды айтыңыз. Контекстсиз лог анализи адаштыруучу.
- Жыйынтыктоо жана топтоо. AIдан миңдеген саптарды окуянын түрлөрү боюнча топтоп, окуялардын санын чыгарып, убакыт тилкесин түзүүнү сураныңыз.
- Шектүү үлгүлөрдү белгилеңиз. "Ийгиликсиз кирүүдөн кийин бир ийгиликтүү логин", "кыска убакыттын ичинде көптөгөн файлдарга кирүү", "белгисиз процесске таандык тармак туташуусу" сыяктуу үлгүлөрдү белгилеңиз.
- Чийки далилдер менен ырастаңыз. Чыныгы журнал сызыктарында AI желекчелеген ар бир үлгүнү таап, ырастаңыз. Ошондой эле AI байкабай калган жерлерди өзүңүзгө сканерлеңиз.
- Чечим жана каттоо. Чыныгы окуяны талдоочу катары жарыялаңыз, билетти ачып, AI жөн гана акселератор экенин документтештириңиз.
Бир нече терминдер: Журнал булагы - журналды чыгарган система. Корреляция - бул ар кандай булактардан келген окуяларды бириктирип, аларды түшүнүү (VPN кирүү + файлга кирүү + маалыматтарды өткөрүп берүү = мүмкүн агып кетүү). Базалык көрсөткүч – бул системанын нормалдуу жүрүм-турумунун көрсөткүчү; Аномалия базалык көрсөткүчкө салыштырмалуу гана мааниси бар. UEBA (User and Entity Behavior Analytics) – бул ар бир колдонуучунун нормалдуу жүрүм-турумун үйрөнүп, четтөөлөрдү белгилеген AIга негизделген ыкма.
салыштыруу диаграммасы
мамиле
Кантип иштейт
күчтүү чекит
алсыздык
Эрежеге негизделген SIEM
Бекитилген "эгерде-анда" эрежелери
Ачык, түшүнүктүү
Белгисиз чабуулду сагындым, көптөгөн жалган позитивтер
Кол коюунун негизинде аныктоо
Белгилүү жаман үлгүгө дал келет
Белгилүү коркунучка тез
Жаңы/өзгөрүлгөн чабуулга сокур
Аномалия/UEBA (AI)
нормадан четтөө табат
Белгисиз нерсени тарта алат
Аномалия = кол салуу эмес; жалган позитив коркунучу
AI менен жыйынтыктоо
Журналдын тилин жыйынтыктайт
Ылдамдык, окууга ыңгайлуу
Контекст жок, галлюцинация коркунучу
Аналитик (адам)
Контекст менен комментарийлер
чечим, жоопкерчилик
Жай, чарчайт, масштабдуу эмес
Туура орнотуу бирин тандоо эмес, катмарлоо: SIEM жана кол ызы-чууну болжол менен чыпкалап, AI жыйынтыктап, баса белгилейт, аналитик текшерип, чечет.
үч мини учурлар
1-жагдай — 50 000 сап, 6 мүнөт. Аналитик веб-серверден AIга 50 000 сап кирүү журналдарын анонимдейт. AI бир тышкы IP 3 сааттын ичинде 12,000 суроо-талаптары менен жөрмөлөп / администратор маршруттарын кыдырып, 480 ар кандай параметрлерди сынап көрүп, 3 жолу 200 жооп алганын аныктайт. Талдоочу бул 3 ийгиликтүү өтүнүчтү чийки журналдан таап, анын чыныгы жолду санап чыгуу чабуулу экенин текшерет жана IPди бөгөттөйт. 50 000 сапты кол менен окуу бир нече саатты талап кылат; Жыйынтык аны 6 мүнөткө чейин кыскартты, бирок бул талдоочунун чечими болду.
2-жагдай — ойлоп табылган корреляция. Дагы бир аналитик AIга "бул журналда чабуул чынжырын сүрөттөп бериңиз" дейт. AI суюк окуяны түзөт: "Саат 02:11де USER_B артыкчылыкты жогорулатып, маалыматтарды экспорттоду." Аналитик чийки журналды отчетко жазуудан мурун ачат; ал эми журналда артыкчылыктарды жогорулатуу да, маалыматтарды өткөрүп берүү да жок - модель "чабуул окуясына" типтүү окуялар чынжырына туура келет. Талдоочу дооматты чыгарат. Сабак: AI айткан ар бир чынжыр журналда текшерилиши керек.
3-жагдай - Түнкү сменада жалган оң. UEBA модели таңкы саат 3тө 900 файлга кирген колдонуучуну "жогорку коркунучтуу аномалия" катары белгилейт. Аналитик контекстти текшерет: колдонуучу резервдик оператор жана бул жумуш күн сайын түнкү саат 03:00дө иштейт; Негизги жагдай каралбай калды. Ойготкуч жалган оң. Талдоочу эрежени орнотот жана бул операторду өзгөчө тизмеге кошот. Аномалия дайыма эле кол салуу эмес; Контекстсиз сигнал ызы-чуу болуп саналат.
Алсыз тездик / Күчтүү тездик
Алсыз билдирүү:
Бул журналды карап көрүңүз, чабуул болсо айтыңыз.[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]
Бул сунуш чыныгы IP жана колдонуучуну камтыйт (купуялыктын бузулушу), журналдын булагын жана кадимки жүрүм-турумун билдирбейт, AIдан далилдерди жана жалган оң баа берүүнү сурабайт. AI сизди "ооба, кол салуу болуп жатат" деген бир гана сүйлөм менен адаштырышы мүмкүн.
Күчтүү билдирүү:
Сиздин ролуңуз: SOC аналитикинин жардамчысы, ДОЛБООР анализин даярдайт. Чечпегиле, кол салбагыла. Бул веб-сервердин анонимдүү кирүү журналы (IP жана колдонуучулар маскаланган). Кадимки трафик: 100-300 суроо-талап/саат иш убактысында, негизинен / продукт жана / арабанын маршруттары. Сиздин тапшырмаңыз: (1) окуялардын түрү жана булагы боюнча кластердик окуялардын санын бериңиз, (2) баштапкы сызыктан четтеген желекче үлгүлөрүн бериңиз, (3) ар бир желек үчүн ал кайсы журнал сызыктарына негизделгенин көрсөтүңүз, (4) ар бири үчүн жана эмне үчүн жалган оң ыктымалдыгын жазыңыз. Фитинг линиясы/IOC киргизүү; Ишенбесеңиз "[аналитик текшерүү]" деп белгилеңиз.[бул жерде анонимдүү кирүү]
Күчтүү доомат ролду чектейт, контекстти жана базаны камсыз кылат жана далилдерди жана жалган позитивдерди баалоону талап кылат.
Көчүрүлүүчү тез шаблондор
LOG КЫСКАЧА ШАБЛАНЫТөмөнкү анонимдүү [журнал булагы: мис. [Брандмауэр] журналын жыйынтыктаңыз: (1) окуялардын түрлөрү боюнча топко бөлүңүз жана ар бир топтун кайталануу санын бериңиз, (2) уникалдуу булактын/максаттардын санын чыгарыңыз, (3) убакыт графигин түзүңүз (биринчи-акыркы окуя, эң чоку сааттар), (4) далил сызыгы менен 5 көрүнүктүү аномалияны тизмектеңиз. чечим кабыл алуу; жөн гана кыскача. Журнал: [чаптоо]
КОРРЕЛИЯЛЫК ШАБЛАНЫ Убакыт жана объект боюнча анонимдүү окуяларды салыштырып, окуялардын мүмкүн чынжырын түзүңүз; БИРОК, ар бир кадам үчүн ал кайсы журнал сызыгына негизделгенин көрсөтүңүз жана негизи жок кадамды "[негизи жок - текшерилиши керек]" деп белгилеңиз. Альтернативалуу жакшы ниет менен түшүндүрмө жазыңыз. Окуялар: [чаптоо]
ЖАЛГАН ПОЗИТИВДИ ЖОЮУ ҮЛГҮБҮ Бул ойготкуч үчүн, чабуулдун чечмелөөсү үчүн кеминде 3 жакшы ниеттүү (жалган позитивдүү) түшүндүрмөлөрдү түзүңүз жана ар бирин текшерүү үчүн кандай кошумча журнал/далилдерди карашым керек экенин жазыңыз. Андан кийин кайсы кошумча далилдер кол салууну жактап, кайсынысы ага каршы экенин аныктаңыз. Ойготкуч: [чаптоо]
TIMELINE ЧЫГАРУУ ҮЛГҮСҮ: Бул анонимдүү журналдардан бирдиктүү хронологиялык хронологиялык хронология чыгарылат: [убакыт] [объект] [окуя] [булак журналы] форматындагы ар бир сап. Убакыт белгиси жок окуяны кошуу. боштуктарды толтурбоо; Эгерде жок болсо, "[сапсыз]" деп жазыңыз. Журналдар: [чаптоо]
Жалпы каталар
- Контекстсиз талдоо. Журналдын булагы жана кадимки жүрүм-туруму (базалык көрсөткүч) көрсөтүлбөстөн жасалган комментарийлер адаштыруучу; "Аномалия" контекст менен мааниге ээ болот.
- AI тарабынан түзүлгөн чынжырды текшерүү эмес. Модель кадимки окуяларды чабуул окуясына байланыштыра алат; Ар бир кадамды чийки журналда ырастаңыз.
- Аномалияны кол салуу деп түшүнүү. UEBA белгиси гипотеза болуп саналат; Камдык көчүрмө, тейлөө, жаңы программалык камсыздоо сыяктуу күнөөсүз себептерди жок кылыңыз.
- чийки маалыматтарды маскасыз экспорттоо. Чыныгы IP/колдонуучу/хост - бул KVKK бузуу жана чабуулчуга тармак картасы белек.
- Терс корутундуга ишенбеңиз жана серептөөнү токтотуңуз. AI "маанилүү эч нерсе жок" десе дагы, өзүңүздүн системалуу сурамыңызды (критикалык окуялардын түрлөрү, жаңы ЭОК) иштетиңиз.
Кеңеш: AI журналды жыйынтыктап жатканда ар дайым "далил сызыгын көрсөтүүнү" сураныңыз. Далилдерсиз эч кандай жыйынтыкка олуттуу мамиле кылбаңыз; Бул эреже көпчүлүк галлюцинацияларды жок кылат.
Эскертүү: AI "жалган позитив" деп айтканы үчүн SIEM эскертүүсүн четке кагуу чыныгы чабуулду жаап салышы мүмкүн. Ошондой эле AI "маанисиз" деп атаган ойготкучту өз алдынча текшериңиз; Жабуу чечими аналитикке таандык жана жазылат.
Кыскача айтканда
Лог жана SIEM анализинин маңызы чоң ызы-чуунун ичинен чыныгы сигналды алуу болуп саналат. Бул сорттоодо AI журналды секунданын ичинде жыйынтыктайт, үлгүлөрдү кластерлейт, хронологиясын белгилейт жана шектүүнү баса белгилейт, бирок институционалдык контекстти билбейт жана окуяларды түзө алат. Ошентип, туура орнотуу катмарланган: эреже/кол болжол менен электен өткөрөт, AI жыйынтыктайт жана желектерди коет, талдоочу чийки журнал менен текшерип, чечим кабыл алат. Үч принцип сизди коргойт: контекст (базалыксыз чечмеленбеген аномалия), далилдер (ар бир табылга чийки журналдын сызыгына байланган), көз карандысыз башкаруу (AI "таза" деп атаган аймак да сканерден өткөрүлөт). Жана ар дайым анонимдүү иштешет.
Колдонмо тапшырмасы
Үлгү журналынын фрагментин алыңыз (же өзүңүздүн тутумуңуздан же үлгүдөгү маалымат топтомунан анонимдүү). Биринчиден, аны AI үчүн "Log Summarization" үлгүсү менен жыйынтыктаңыз. Андан кийин эң көрүнүктүү үч табылганын ар бири үчүн “Жалган оң жоюу” шаблонун колдонуңуз жана ар бир табылганыңызды чийки журналдан текшериңиз. Акыр-аягы, AIнын корутундусу менен чийки окуунун ортосундагы айырмачылыктарга көңүл буруңуз: AI эмнени өткөрүп жиберди, ал эмнени түздү, эмне туура болду?
текшерүү тизмеси
- [ ] Мен журналды анонимдүү кылдым; чыныгы IP/колдонуучу/хост маскаланган.
- [ ] Мен AIге журналдын булагын жана кадимки жүрүм-турумун бердим (базалык).
- [ ] Мен ар бир табылга үчүн далил журналынын сабын сурадым жана аны чийки журналда текшердим.
- [ ] Мен AI тарабынан түзүлгөн окуялар чынжырынын ар бир кадамын ырастап, жасалманы жок кылдым.
- [ ] Ар бир ойготкуч үчүн жок дегенде бир жалган оң түшүндүрмө карадым.
- [ ] Мен ошондой эле AI "таза / маанилүү эмес" деп атаган жерлерди сканерден өткөрдүм.
- [ ] Талдоочу катары мен чечим кабыл алдым жана окуяны жаздым; Мен AIди акселератор катары документтештирдим.