Reagavimas į incidentą: greita analizė, vadovas ir valdomas sprendimas naudojant dirbtinį intelektą

Pelnas:

• Supratimas, kad dirbtinis intelektas pagreitina reagavimą į incidentus, apibendrindamas įrodymus, nustatydamas laiko juostą, rūšiuodamas pagrindines priežastis ir rengdamas plano juodraštį, tačiau sprendimas izoliuoti / užrakinti / uždaryti / pranešti priklauso įgaliotajai komandai.
• Gebėjimas įvertinti izoliavimo galimybes pagal poveikį verslui ir grįžtamumą ir neišskirti ypatingos svarbos infrastruktūros neįvertinus jos poveikio
• Gebėjimas suprasti, kad atkūrimo greitis negali įveikti įrodymų išsaugojimo (teismo ekspertizės vaizdas, įrodymų grandinė) ir kad kriminalistinių veiksmų negalima perkelti į dirbtinį intelektą

Kai saugumo incidentas nutrūksta, laikas yra priešas. Kadangi išpirkos reikalaujančios programos pradeda plisti, tai reiškia, kad kas minutę užšifruojama daugiau mašinų; Kai paskyra yra pažeista, užpuolikas kas minutę gilinasi. Reagavimas į incidentą (trumpai – IR) – tai saugumo incidento aptikimo, ribojimo, valymo ir normalizavimo procesas. IR reikalauja priimti sprendimus esant spaudimui, turint nepilną informaciją ir tiksintį laikrodį; Būtent todėl jis turi būti greitas ir disciplinuotas.

AI suteikia neįkainojamą IR spartą: greitai apibendrina išsklaidytus įrodymus (žurnalus, įspėjimus, EDR duomenis), nustato įvykių laiko juostą, išvardija galimą pagrindinę priežastį, parengia plano juodraštį (iš anksto nustatytas žingsnis po žingsnio intervencijos vadovas) ir išdėsto ataskaitą po intervencijos. Tačiau svarbiausi IR sprendimai – sistemos atskyrimas nuo tinklo, paskyros užrakinimas, serverio išjungimas, įrodymų ištrynimas arba išsaugojimas – yra sprendimai, kurie gali būti atšaukiami, sukelti verslo pertraukų ir turėti įtakos teisminiams procesams. Jų negalima perduoti dirbtiniam intelektui. AI yra IR analizės ir braižybos variklis; Sprendimą dėl izoliavimo, užrakinimo, uždarymo ir pranešimo priima kompetentinga reagavimo grupė.

Reagavimo į incidentą etapai

Bendra pramonės sistema (pagrįsta NIST) susideda iš šešių etapų. Kiekviename etape AI pagalba ir ribos skiriasi:

1. Pasiruošimas: Žaidimų knygelės, vaidmenys, bendravimo planas yra paruošti iš anksto. AI padeda kurti žaidimų knygeles ir nagrinėti scenarijus – prieš įvykį, o ne šiuo metu.
2. Aptikimas ir analizė: įvykis patikrinamas ir nustatoma jo apimtis. AI apibendrina įrodymus, nustato laiko juostą ir pateikia pagrindinių priežasčių hipotezes. Sprendimą priima analitikas.
3. Apribojimas: plitimas sustabdytas (izoliavimas, sąskaitos užraktas). Šis kritinis sprendimas priklauso žmonėms; AI pateikia tik parinktis ir jų poveikį.
4. Naikinimas: kenkėjiškos, užpakalinės durys, pažeistos paskyros išvalomos. AI sukuria kontrolinį sąrašą; įgyvendinimas ir patikrinimas yra žmogiški.
5. Atkūrimas: sistemos atkuriamos ir stebimos kontroliuojamu būdu. AI rekomenduoja parengti stebėjimo planą.
6. Išmoktos pamokos: pagrindinė priežastis, laiko juosta, tobulinimas. AI rengia ataskaitų projektus ir tobulinimo pasiūlymus; Jis yra patvirtinimo komandoje.

Sąlygos: EDR (galinio taško aptikimas ir atsakas – programinė įranga, kuri veikia galiniuose taškuose, t. y. kompiuteriuose, gali aptikti įtartiną elgesį ir į jį reaguoti). Pagrindinė priežastis yra tikrasis įvykio pradžios taškas („Kaip jie iš pradžių pateko?“). Globos grandinė – tai nepertraukiamas įrašas, kas, kaip ir kada buvo surinkti teismo ekspertizės įrodymai; Tai labai svarbu teisiniame procese. MTTR (Mean Time To Respond) yra IR komandos veiklos matas.

Sprendimo autoriteto lentelė

IR veiksmas

AI vaidmuo

Kas nusprendžia

Kodėl

Įrodymų apibendrinimas, laiko juosta

gamintojas, akseleratorius

Analitikas patvirtina

Haliucinacijų rizika

Pagrindinės priežasties hipotezė

Rūšiuotojas, pasiūlymas

analitikas

Reikalingas kontekstas ir įrodymai

Playbook juodraštis (anksčiau)

eskizų generatorius

IR vadovas patvirtina

Pritaikomumas

Izoliuokite sistemą

Pateikiamas tik parinkčių sąrašas

įgaliotas analitikas

Verslo nutraukimas, grįžimas

Sąskaitos blokavimas

Pateikiama poveikio analizė

įgaliotas analitikas

Netinkamas užraktas sustabdo veikimą

Įrodymų ištrynimas/saugojimas

Įspėjimai, pasiūlymai

IR lyderis + įstatymas

Nukenčia teisminis procesas

Teisinis / reguliavimo pranešimas

juodraščio rašytojas

Teisė + vadyba

Teisinė atsakomybė

trys mini dėklai

1 atvejis. Greita santrauka esant spaudimui. Įspėjimas apie išpirkos programėlę gaunamas 2:40 val. Analitikas AI suteikia EDR ir ugniasienės žurnalus (anonimizuodamas). AI sukuria laiko juostą kas 90 sekundžių: „01:55 atidarytas sukčiavimo priedas, 02:10 atsisiųstas „PowerShell“, 02:30 pradėtas judėjimas į šoną, paveiktos 3 mašinos. Analitikas patvirtina šią grandinę neapdorotu EDR įrašu, savo nuožiūra išskiria 3 paveiktas mašinas ir sustabdo plitimą. AI sumažino 20 minučių įrodymų skaitymo iki 90 sekundžių; Analitikas priėmė sprendimą dėl izoliacijos.

2 atvejis – neteisinga izoliavimo rekomendacija. Vienu atveju AI sako: „Srautas iš IC_HOST_7 yra įtartinas, izoliuotas“. Analitikas patikrina kontekstą: IC_HOST_7 yra pagrindinis organizacijos autentifikavimo serveris; Jei izoliuotas, visi darbuotojai nustoja įeiti. Be to, srauto priežastis yra teisėta atsarginė kopija. Analitikas neišskiria, o tik stebi įtartiną ryšį. Pamoka: AI izoliavimo rekomendacija negali būti įgyvendinta nežinant verslo poveikio; Kritinės infrastruktūros atveju sprendimas yra kruopščiai žmogiškas.

3 atvejis – netyčia sunaikinami įrodymai. Komanda, skubėjusi valyti, paklausė AI „kaip greitai išvalyti šią mašiną? jis klausia; AI siūlo iš naujo įdiegti sistemą. Tačiau mašinoje yra teismo medicinos įrodymų (atminties sąvartynas, užpuoliko įrankiai), kurie dar nebuvo surinkti; įdiegimas iš naujo sugriaus įrodymų grandinę. Vyresnysis analitikas pirmiausia užtikrina, kad vaizdas (teismo ekspertizės kopija) būtų padarytas, o tada jį išvalo. Pamoka: atsigavimo greitis negali nugalėti įrodymų išsaugojimo; teisminiai veiksmai nėra deleguojami AI.

Silpnas raginimas / Stiprus raginimas

Silpnas raginimas:

Įvyko išpirkos reikalaujančios programos ataka, ką turėčiau daryti? Kokias mašinas turėčiau išjungti?

Šis raginimas AI prašo tiesioginio operatyvinio sprendimo (kurį įrenginį išjungti), nepateikia jokio konteksto, jokio poveikio verslui ir įrodymų. AI duoda bendrą arba rizikingą nurodymą; Jei taikoma aklai, darbas sustos arba dings įrodymai.

Galingas raginimas:

Jūsų vaidmuo: asistentas, teikiantis ANALIZĘ ir PASIRINKIMUS atsako į incidentus komandai. Nepriimk sprendimo; neįsakyk „išjungti/izoliuoti tą mašiną“, tiesiog surašyk parinktis ir galimą kiekvieno iš jų poveikį. Apdorokite šiuos anoniminius įrodymus: [EDR / žurnalo suvestinė]. Jūsų užduotis: (1) sudaryti tikėtino įvykio laiko juostą, parodyti, kokiais įrodymais grindžiate kiekvieną veiksmą, be pagrindo pažymėkite „[būtina patikrinti]“, (2) išvardykite 3 pagrindinių priežasčių hipotezes, parašykite, kaip kiekvieną patikrinti, (3) išvardykite izoliavimo PASIRINKIMUS (verslo išskyrimas, poveikis ir stebėjimas, grįžimas); palikite sprendimą man (4) priminkite man, kokių veiksmų reikia norint išsaugoti įrodymus PRIEŠ izoliaciją.

Didelė paklausa riboja AI kaip pasirinkimo teikėją, susieja jį su įrodymais, pabrėžia poveikį verslui ir įrodymų išsaugojimą, o sprendimą palieka žmonėms.

Kopijuojami raginimo šablonai

ĮVYKIŲ LAIKAS ŠABLONAS Sukurkite chronologinę įvykių laiko juostą iš šių anoniminių IR įrodymų. Kiekviena eilutė: [laikas] [įvykis] [įrodymų šaltinis]. Veiksmo pridėjimas be laiko žymos ar įrodymo; pažymėkite tuščią vietą „[trūksta – reikia surinkti]“. Sprendimas / rekomendacija, reitingavimas pagrįstas tik įrodymais. Įrodymai: [įklijuoti]

PAGRINDINĖS PRIEŽASTIES HIPOTEZĖS ŠABLONISSukurkite 3–5 labiausiai tikėtinas šio įvykio pagrindinės priežasties hipotezes. Kiekvienai hipotezei: (1) įrodymai, kuriais ji grindžiama, (2) papildomi įrodymai, kuriuos reikia surinkti jai patvirtinti, (3) bet kokie kiti tikėtini pėdsakai, jei jie yra teisingi. Neskelbkite nė vieno iš jų tikru; Naudokite tikimybių kalbą. Renginio santrauka: [įklijuoti]

SUTRAUKIMO PASIRINKIMO ŠABLONIS Išvardykite izoliavimo PASIRINKIMUS tokiai situacijai (izoliuoti / stebėti / užrakinti / segmentuoti). KIEKVIENAM variantui: poveikis verslui, grąžos sunkumas, įtaka įrodymams, teismo ekspertizė. Neduok man įsakymų; Aš priimsiu sprendimą. Tai ypač tinka, jei yra įtraukta kritinė infrastruktūra (tapatybė, DNS, atsarginė kopija). Būsena: [įklijuoti]

PLAYBOOK DRAFT TEMPLATE (paruošimas prieš įvykį)Tokiam scenarijui [pvz.,. darbo el. pašto kompromisas] parašyti nuoseklią intervencijos knygelę JUODRAŠTIS: trigeris, vaidmenys, sulaikymas, sunaikinimas, atkūrimas, kontaktas, pranešimo veiksmai. Prie kiekvieno kritinio sprendimo pažymėkite varnelę „[žmogaus pritarimas]“. Šis projektas neįsigalioja be IR vadovo pritarimo.

Dažnos klaidos

• Leiskite AI priimti operatyvinius sprendimus. Klausimas „Kurią mašiną turėčiau išjungti“ priklauso komandai, kuri žino verslo poveikį, o ne AI; AI siūlo tik pasirinkimą ir įtaką.
• Įkalčių išvalymas jų nerenkant. Teismo ekspertizės įrodymų naikinimas dėl greičio yra negrįžtamas; Išmeskite vaizdą ir atmintį prieš izoliavimą / valymą.
• Laiko juostos importavimas į ataskaitą jos nepatvirtinus. DI gali sudaryti įvykių grandinę; Patvirtinkite kiekvieną veiksmą neapdorotais įrodymais.
• Kritinės infrastruktūros izoliavimas negalvojant. Tapatybės, DNS, atsarginio serverio išskyrimas gali sustabdyti visą organizaciją; pirmiausia išmatuokite poveikį.
• Įvykio metu pirmą kartą rašiau „Playbook“. Žaidimų knygelė sudaroma pasiruošimo etape; Bandymas rašyti nuo nulio įvykio metu sukelia paniką ir klaidų.

Patarimas: IR visada pasakykite AI „išvardykite parinktis ir jų efektus, leiskite man nuspręsti“. Šis vienas sakinys paverčia dirbtinį intelektą iš pavojingo „autopiloto“ į saugų „patarėją“.

Atsargiai: sistemos izoliavimas, paskyros užrakinimas arba įrodymų ištrynimas gali turėti negrįžtamų pasekmių ir paveikti teisminius / teisinius procesus. Šie sprendimai priimami gavus įgaliotos reagavimo grupės ir, kai reikia, teisinių ir vadovybės pritarimą; AI išvestis yra pasiūlymas, o ne įsakymas.

Apibendrinant

Reagavimas į incidentą reikalauja greito ir drausmingo sprendimų priėmimo esant spaudimui ir tiksinčiam laikrodžiui. Dirbtinis intelektas labai padidina šį greitį apibendrindamas įrodymus, sudarydamas laiko juostą, rūšiuodamas pagrindines priežastis ir rengdamas planų juodraštį. Tačiau svarbiausi IR veiksmai – izoliavimas, paskyros blokavimas, sistemos išjungimas, įrodymų ištrynimas/saugojimas, teisinis pranešimas – yra negrįžtami sprendimai, dėl kurių nutrūksta verslas ir atsiranda teisinių pasekmių ir kurių negalima perduoti AI. Kiekviename iš šešių etapų (paruošimas, aptikimas, izoliavimas, sunaikinimas, gelbėjimas, pamoka) AI atlieka analizę ir planą; Sprendimas priklauso įgaliotai komandai. Dvi auksinės taisyklės: išvalykite įrodymus jų neišsaugant, izoliuokite svarbią infrastruktūrą nematuodami jos poveikio.

Taikymo užduotis

Pasirinkite atvejo scenarijų (pvz., paskyros perėmimas po sukčiavimo). Apibūdinkite AI analizę naudodami „Įvykio laiko juostos“ ir „Pagrindinės priežasties hipotezės“ šablonus; Užsirašykite įrodymus, kuriuos naudosite tikrindami kiekvieną laiko juostos veiksmą. Tada naudodami šabloną „Apribojanti parinktis“, kai turėsite tris ribojančias parinktis, patys įvertinkite kiekvienos iš jų poveikį verslui ir pažymėkite, kurią pasirinktumėte ir kodėl (ir ką pirmiausia padarytumėte, kad išsaugotumėte įrodymus).

kontrolinis sąrašas

• [ ] Apribojau AI kaip pasirinkimo/analizės serverį; Aš priėmiau operatyvinį sprendimą.
• [ ] Aš patikrinau kiekvieną laiko juostos žingsnį remdamasis neapdorotais įrodymais, pašalindamas išgalvotus dalykus.
• [ ] Suplanavau įrodymų rinkimo (vaizdo, atminties iškelties) žingsnį prieš izoliavimą / valymą.
• [ ] Pirmiausia įvertinau ypatingos svarbos infrastruktūros objektų izoliacijos poveikį verslui.
• [ ] Pagrindinės priežasties hipotezes traktavau kaip galimybes, kurias reikia patikrinti, o ne kaip galutines.
• [ ] „Playbook“ parengiau prieš renginį ir pateikiau IR vadovui tvirtinti.
• [ ] Tais atvejais, kai reikia teisinio pranešimo, įtraukiau teisinį / administracinį patvirtinimą.