Ieguvumi:
- Spēja normalizēt vairākus laikspiedolu avotus uz vienu atsauci (UTC) un iezīmēt anomālijas un nepilnības super laika skalā ar mākslīgo intelektu
- Spēja atšķirt korelāciju no cēloņsakarības un pārbaudīt mākslīgā intelekta izveidoto stāstījumu, saistot katru notikumu ar tā avotu
- Spēja atpazīt riskus, piemēram, laika nobīdi, pulksteņa novirzi un žurnālu atstarpes, un apstiprināt tos ar vairākiem avotiem
Ir tikai viena lieta, kas norāda, kad, kā un kādā secībā kibernotikums patiesībā notiek: laiks. Kad uzbrucējs iekļuva sistēmā, kuram failam viņš pieskārās un kad, kad viņš izfiltrēja datus, tas viss tiek saglabāts dažādos žurnālos (ierakstu failos, kuros sistēma reģistrē notikumus) un dažādos laika zīmogos (laikspiedols — notikuma datuma un laika ieraksts). Laika skalas analīze sakārto šos izkliedētos laikspiedolus vienā hronoloģiskā stāstījumā un jautā: “Kas notika?” Tā ir māksla atbildēt uz jautājumu. Šajā nodaļā mēs redzēsim, kā AI nodrošina lielu ātrumu šo netīro datu kārtošanā un kur tie var jūs maldināt.
Laika zīmogu daudzums un nepilnības
Pat vienam failam ir vairāki laikspiedoli. Piemēram, failu sistēmai ir MACB zīmogi: Modified, Accessed, Changed, Born. Papildus ir operētājsistēmas notikumu žurnāli (Windows Event Log), tīmekļa servera žurnāli, ugunsmūra žurnāli, lietojumprogrammu žurnāli un reģistra (Windows reģistrs - hierarhiska datu bāze, kurā tiek glabāti sistēmas un lietojumprogrammu iestatījumi) ieraksti.
Lielākā slazds ir laika josla un laika novirze. Viens žurnāls reģistrē UTC (koordinētais universālais laiks), otrs vietējais laiks; sistēmas pulkstenis var būt iestatīts nepareizi; Iespējams, ka uzbrucējs ir apzināti manipulējis ar laikspiedoliem (timestomping — faila laikspiedolu viltošana). Tāpēc pirms laika skalas noteikšanas ir jānosaka katra avota laika josla un pulksteņa precizitāte, un tas viss ir normalizēts līdz kopējai atsaucei (parasti UTC).
Uzmanību: tā ir klasiska kļūda, ja divus baļķus novieto blakus dažādos laika periodos un saka "tas notika vienlaikus". Pirms korelācijas konvertēt visus laikspiedolus par vienu atsauci; Pretējā gadījumā AI (un jūs) noteiktā cēloņsakarība no sākuma ir sapuvusi.
Super laika skala un AI
Datoru kriminālistikā struktūru, kas apvieno visus šos avotus, sauc par superlaika skalu; Tas bieži tiek ģenerēts ar tādiem rīkiem kā Plaso/log2timeline, un tajā var būt desmitiem tūkstošu vai pat miljoniem rindu. Šeit parādās AI: šajā milzīgajā diagrammā atzīmējiet nozīmīgus modeļus un anomālijas.
Drošs AI ieguldījums:
- Anomālijas atzīmēšana: piekļuve ārpus darba laika, pēkšņa privilēģiju eskalācija, neparasta procesa ķēde, vairākas neveiksmīgas pieteikšanās īsā intervālā.
- Notikumu grupēšana: grupējiet notikumus, kas koncentrējas vienā laika logā, un atzīmējiet tos kā "šeit kaut kas notika".
- Stāstījuma izklāsts: pārbaudītu notikumu tulkošana vienkāršā valodā hronoloģiskā stāstā (pirmais ziņojuma melnraksts).
- Nepilnības noteikšana: "Šajā 40 minūšu intervālā nav neviena žurnāla — vai tos varēja izdzēst?" Jautājot par tādiem trūkumiem kā.
Katrā no tiem AI ģenerē hipotēzes; Jūs pierādat cēloņsakarību un pierādījumu vērtību.
Padoms. Nododot AI laika skalu, vispirms skaidri norādiet laika joslu un formātu: "Visi laikspiedoli ir UTC, ISO 8601 formātā." Vispirms normalizējiet jauktos formātus; Ļaut AI uzminēt formātu ir aicinājums kļūdīties.
Korelācija nav cēloņsakarība
Visbīstamākā loģiskā kļūda laika analīzē ir domāt, ka pēctecība ir cēlonis un sekas. "USB tika ievietots plkst. 22:10, fails tika kopēts plkst. 22:12" var notikt divi notikumi pēc kārtas, taču tie nepierāda, ka viena un tā pati persona to izdarīja vienā un tajā pašā nolūkā; Var būt cits izskaidrojums. Lai gan mākslīgais intelekts veido raitu stāstījumu, tas neredz šo plaisu un var izveidot precīzu teikumu, piemēram, "Dati tika nozagti, izmantojot USB". Eksperta uzdevums ir novērst alternatīvus skaidrojumus un katru soli atbalstīt ar neatkarīgiem pierādījumiem.
trīs mini futrāļi
1. gadījums — pulksteņa novirze ir noķerta. Vienā gadījumā tīmekļa servera žurnāls un ugunsmūra žurnāls 3 stundas izskatījās atšķirīgi. Pirmajā projektā AI uzskatīja šos "divus atsevišķus uzbrukumus". Eksperts konstatēja, ka servera laika josla ir iestatīta nepareizi; Kad tie ir normalizēti, divi žurnāli iekļaujas vienā notikumā. 3 stundu "fantoma atšķirība" ir pazudusi.
2. gadījums — sprauga atklāja svītrojumu. 1,1 miljona līniju superlaika skalā AI atzīmēja, ka laikā no 02:30 līdz 03:10 nav ierakstu. Eksperts pārbaudīja: Šajā logā drošības žurnāli tika apzināti notīrīti (baļķu tīrīšana). Pats tukšums kļuva par vienu no spēcīgākajiem uzbrukuma pierādījumiem.
3. gadījums — halucinācijas izraisīja notikumu. Veicot kopsavilkumu, YZ teica: "Administratora konts tika izveidots plkst. 03:45." Eksperts apskatīja avotu: nebija tāda Event ID — numura Windows žurnālos, kas norāda notikuma veidu; AI apvienoja divas dažādas līnijas un radīja notikumu, kas neeksistēja. Saistīšanas solis ar avotu novērsa nepatiesu stāstījumu.
Četras kopējamas veidnes
1) Laika normalizācijas plāns:
Jūsu loma: tiesu medicīnas laika skalas analītiķis. Es jums sniegšu laika zīmogus no dažādiem avotiem (formāti un laika periodi var atšķirties). Vispirms nosakiet katra avota formātu un laika joslu, pēc tam izstrādājiet plānu, kā tos visus pārvērst UTC/ISO 8601. Atzīmējiet laika joslu, par kuru neesat pārliecināts, kā "nepieciešams apstiprinājums".
2) Anomālijas marķējums:
Konteksts: uzņēmuma serveris, parastais darba laiks 08:00-18:00 (UTC+3). Es jums sniegšu normalizētu notikumu sarakstu. Pamatojoties tikai uz ierakstiem, kas PATIESĪGI parādās sarakstā, atzīmējiet šādus vienumus: piekļuve ārpus darba laika, privilēģiju eskalācija, atkārtoti neveiksmīga pieteikšanās, neparasta procesu ķēde. Katrai zīmei citējiet attiecīgo rindiņu. Interpretācijas/cēloņsakarību pievienošana; Es to novērtēšu.
3) Stāstījuma izklāsts (ziņojumam):
Tālāk ir norādīti notikumi, kurus ES PĀRBAUDĪJU (katram ir norādīts avots). Pārvērtiet tos vienkāršā, hronoloģiskā stāstījumā. Izmantojiet tikai notikumus, ko es dodu; pievienojot jaunu notikumu, prognozi vai cēloņsakarību. Uzrakstiet neskaidrus savienojumus valodā, kas tos raksturo kā "iespējamus".
4) Atstarpes un nekonsekvences skenēšana:
Šajā normalizētajā laika skalā: (1) atzīmējiet žurnāla periodus, kas ir sagaidāmi, bet šķiet, ka tiem trūkst, (2) ieraksti, kas nav kārtībā (nākotnē uz pagātni), (3) lēcienus, kas parādās pakešu/automātiski. Rādīt katru ar atbilstošo rindstarpu. Norādiet, ka tās var būt dzēšanas/manipulācijas PAZĪMES, taču tās nav pierādījums.
Vāja uzvedne / spēcīga uzvedne
Vāja uzvedne:
Apkopojiet šos žurnālus un izskaidrojiet notikušo.
Nav laika ierobežojumu, avota vai "tikai reāla ieraksta" ierobežojumu; AI var izveidot raitu, bet izdomātu stāstu.
Spēcīga uzvedne:
Jūsu loma: tiesu ekspertīzes žurnālu analītiķis. Avots: 3 žurnāli (Windows drošība, Apache piekļuve, ugunsmūris), visi normalizēti uz UTC, ISO 8601. Uzdevums: hronoloģiski uzskaitīt notikumus no 14. marta 21:00-23:00, pamatojoties tikai uz norādītajām rindām; citējiet katru rindiņu ar tās avotu un notikuma ID/kodu. Korelācijas noteikšana, cēloņsakarības pieprasīšana; Es komentēšu. Atzīmējiet intervālus, kurus redzat kā trūkstošus vai neparastus, atsevišķi.
Avots, normalizēta atsauce, "tikai dotā rinda" un "noteikt cēloņsakarību" ierobežojumi padara izvadi aizsargājamu.
Laika zīmogu avotu tabula
Avots
Laika zīmoga piemērs
Uzmanību
Failu sistēma (MACB)
Modificēt/piekļūt/izveidot
Atvērts laika ierobežošanai
Windows notikumu žurnāls
Pieteikšanās, process, apkalpošanas pasākumi
Apstipriniet notikuma ID
tīmekļa servera žurnāls
pieprasīt laiku
laika joslu pārbaude
ugunsmūris/tīkls
savienojums, noraidīšana
Pulksteņa sinhronizācija (NTP)
Reģistrs
Pēdējais rakstīšanas laiks
Komentēšanai ir nepieciešamas zināšanas
Lietotne/pārlūkprogramma
vēsture, kešatmiņa
var būt vietējais laiks
Biežas kļūdas
- Korelācijas noteikšana bez laika perioda normalizēšanas. Dažādas šķēles rada viltus "vienlaikus".
- Kļūdaina korelācija ar cēloņsakarību. Secīgi notikumi nenozīmē vienu un to pašu vainīgo/mērķi.
- Absolūta uzticēšanās laika zīmogam. Iespējama laika ierobežošana un nepareizs laiks; Apstipriniet ar vairākiem avotiem.
- Netiek pārbaudīts notikums, ka AI ir samontēts. Divu līniju savienība var radīt neeksistējošu notikumu.
- Atšķirību ignorēšana. Trūkstošais žurnāls bieži vien ir vissvarīgākais pierādījums.
Rezumējot
Laika skalas analīze ir darbība, kurā izkaisīti laikspiedoli tiek apvienoti vienā pārbaudāmā hronoloģijā. AI nodrošina lielu ātrumu anomāliju atzīmēšanā, klasteru veidošanā, atstarpju noteikšanā un stāstījuma noformēšanā miljonos rindiņu superlaikā. Bet laika perioda normalizācija, korelācijas un cēloņsakarības atšķirība un katra notikuma attiecināšana uz avotu pieder cilvēkiem. AI ģenerē hipotēzes; Jūs esat tas, kurš aizstāv hronoloģiju tiesā.
Lietojumprogrammas uzdevums
Sagatavojiet notikumu saraksta paraugu ar 15-20 rindiņām dažādos formātos un laika joslās (ar nolūku iekļaujiet laika nobīdi un atstarpi). Vispirms konvertējiet tos uz UTC, izmantojot veidni "Laika normalizācijas plāns". Pēc tam izmantojiet veidnes "Anomāliju marķēšana" un "Atstarpes skenēšana" un pārbaudiet pulksteņa novirzi un atstarpi, ko AI ierakstījis avotā.
kontrolsaraksts
- [ ] Es normalizēju visus laikspiedolus uz vienu atsauci (UTC).
- [ ] Es saistīju katru notikumu ar tā avotu (failu/notikuma ID/rindiņu).
- [ ] Es nošķīru korelāciju un cēloņsakarību; Es apsvēru alternatīvus skaidrojumus.
- [ ] Es atzīmēju baļķu spraugas un neparastus ierakstus.
- [ ] Es apstiprināju notikumus, kurus AI konsolidēja/apkopoja sākotnējā ierakstā.