സൈബർ സുരക്ഷയിലെ ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസിൻ്റെ ആമുഖം: റോളുകൾ, അതിരുകൾ, പ്രതിരോധ നൈതികത, സ്ഥിരീകരണം

നേട്ടങ്ങൾ:

• ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസ് പ്രതിരോധ സുരക്ഷാ വർക്ക്ഫ്ലോയിൽ (കണ്ടെത്തൽ, വിശകലനം, ഇടപെടൽ, മെച്ചപ്പെടുത്തൽ, റിപ്പോർട്ടിംഗ്) സമയം ലാഭിക്കുന്നത് എവിടെയാണ്, ടാസ്‌ക് റിസ്ക് ലെവലിനെ ആശ്രയിച്ച് സുരക്ഷാ-നിർണ്ണായക തീരുമാനങ്ങൾ (ആക്രമണ പ്രഖ്യാപനം, ഒറ്റപ്പെടൽ, തടയൽ, ഔദ്യോഗിക റിപ്പോർട്ട്) അനലിസ്റ്റിന് വിട്ടുകൊടുക്കുന്നത് വേർതിരിച്ചറിയാൻ കഴിയും.
• ഓരോ AI ഔട്ട്‌പുട്ടും അസംസ്‌കൃത തെളിവുകളുമായി (ലോഗ്, IOC, CVE, കോഡ്) ബന്ധിപ്പിക്കുന്നതിനുള്ള അച്ചടക്കം പ്രയോഗിക്കാനുള്ള കഴിവ്, അത് സ്വതന്ത്രമായി പരിശോധിച്ച് സന്ദർഭ ഫിൽട്ടറിംഗിലൂടെ കടന്നുപോകുന്നു
• കെവികെകെ/സ്വകാര്യതയുടെ പരിധിക്കുള്ളിൽ ലോഗ്, സെക്യൂരിറ്റി ഡാറ്റ അജ്ഞാതമാക്കാനും അംഗീകൃത, പ്രതിരോധ ആവശ്യങ്ങൾക്കും രേഖാമൂലമുള്ള അനുമതിയോടും മാത്രം ഉപയോഗിക്കാനും ഉള്ള കഴിവ്.

ഒരു സുരക്ഷാ പ്രവർത്തന കേന്ദ്രത്തിൽ (ഇംഗ്ലീഷിൽ SOC - സെക്യൂരിറ്റി ഓപ്പറേഷൻസ് സെൻ്റർ; ഓർഗനൈസേഷൻ്റെ നെറ്റ്‌വർക്ക്, സെർവറുകൾ, ഉപയോക്താക്കളെ 24/7 നിരീക്ഷിക്കുന്ന ടീം), ഓരോ സെക്കൻഡിലും ആയിരക്കണക്കിന് ഇവൻ്റ് റെക്കോർഡുകൾ ഒഴുകുന്നു. പുലർച്ചെ 3:14 ന് റഷ്യയിലെ ഒരു സെർവറുമായി ബന്ധിപ്പിച്ച ഒരു ജീവനക്കാരൻ: ഇതൊരു ആക്രമണമാണോ അതോ വിദേശത്ത് ബിസിനസ്സ് യാത്രയാണോ? ഒരു ഉപയോക്താവ് അഞ്ച് മിനിറ്റിനുള്ളിൽ 4,000 ഫയലുകൾ എൻക്രിപ്റ്റ് ചെയ്തു: ഇത് ransomware ആണോ ബാക്കപ്പ് ടൂൾ ആണോ? "ഇൻവോയ്സ് അറ്റാച്ച് ചെയ്‌തിരിക്കുന്നു" എന്ന് ഒരു ഇമെയിൽ പറയുന്നു: ഇതൊരു യഥാർത്ഥ അക്കൗണ്ടിംഗ് ഇമെയിലാണോ ഫിഷിംഗ് ആണോ? ഒരു കോഡ് അവലോകനത്തിൽ, ഒരു SQL അന്വേഷണം നേരിട്ട് ഉപയോക്തൃ ഇൻപുട്ടിനെ സംയോജിപ്പിക്കുന്നു: ഇത് ചൂഷണം ചെയ്യാവുന്ന ഒരു അപകടസാധ്യതയാണോ അതോ ആന്തരിക നെറ്റ്‌വർക്കിൽ പ്രവർത്തിക്കുന്ന സുരക്ഷിത സ്‌ക്രിപ്‌റ്റാണോ? ഈ ചോദ്യങ്ങളിൽ പലതും ആവർത്തനവും മടുപ്പുളവാക്കുന്നതുമാണ്; അവയിൽ ചിലത് ഒരു ഡാറ്റാ ലംഘനത്തിലേക്കോ ദശലക്ഷക്കണക്കിന് ലിറകളുടെ നാശത്തിലേക്കോ ഒരു സ്ഥാപനത്തിൻ്റെ പ്രശസ്തിയിലേക്കോ നേരിട്ട് നയിച്ചേക്കാവുന്ന തീരുമാനങ്ങളാണ്.

ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസ് (AI, അല്ലെങ്കിൽ ഹ്രസ്വമായ AI- സ്കാൻ ചെയ്യാനും സംഗ്രഹിക്കാനും വർഗ്ഗീകരിക്കാനും ഫ്ലാഗ് അപാകതകൾ ഫ്ലാഗ് ചെയ്യാനും വലിയ അളവിലുള്ള വാചകങ്ങളുടെയും പാറ്റേണുകളുടെയും ഡ്രാഫ്റ്റുകൾ നിർമ്മിക്കാനും കഴിയുന്ന കമ്പ്യൂട്ടർ സംവിധാനങ്ങൾ) ഈ ചിത്രത്തിൻ്റെ മധ്യഭാഗത്ത് തന്നെ യോജിക്കുന്നു. ശരിയായി ഉപയോഗിക്കുമ്പോൾ, അത് നിമിഷങ്ങൾക്കുള്ളിൽ ആയിരക്കണക്കിന് ലൈനുകളുടെ ലോഗുകൾ സംഗ്രഹിക്കുന്നു, അപകടസാധ്യതകളുടെ ഒരു കൂട്ടത്തിന് മുൻഗണന നൽകുന്നു, മിനിറ്റുകൾക്ക് പകരം നിമിഷങ്ങൾക്കുള്ളിൽ ഒരു ഫിഷിംഗ് ഇമെയിൽ വിശകലനം ചെയ്യുന്നു, കൂടാതെ നിങ്ങൾക്ക് ചിന്തിക്കാൻ സമയം നൽകുന്നു. തെറ്റായി ഉപയോഗിക്കുമ്പോൾ, അത് "സാധാരണ" എന്ന് ലേബൽ ചെയ്തുകൊണ്ട് യഥാർത്ഥ ആക്രമണത്തെ അവഗണിക്കാം, നിലവിലില്ലാത്ത ഒരു ഭീഷണി കെട്ടിച്ചമച്ച് ടീമിനെ തെറ്റായി അലാറം ചെയ്യാം, അല്ലെങ്കിൽ സ്ഥാപനത്തിന് പുറത്തുള്ള രഹസ്യ ലോഗ് ഡാറ്റ ചോർത്താം.

ഈ യൂണിറ്റിൻ്റെ ഉദ്ദേശ്യം ഒരു വാഹന പ്രമോഷനല്ല. ഒരു സെക്യൂരിറ്റി പ്രൊഫഷണലിൻ്റെ ജോലിയിൽ AI എവിടെ ഉൾപ്പെടുത്തണം എന്നും എവിടെ വയ്ക്കരുത് എന്നും വ്യക്തമാക്കുകയാണ് ലക്ഷ്യം. നമുക്ക് ആദ്യം മുതൽ അടിസ്ഥാന തത്വം ആവർത്തിക്കാം: ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസ് ഒരു സഹായിയാണ്, സുരക്ഷാ അനലിസ്റ്റിൻ്റെ സ്ഥാനത്ത് തീരുമാനമെടുക്കാനുള്ള അധികാരമല്ല. ഒരു സംഭവം യഥാർത്ഥ ആക്രമണമായി പ്രഖ്യാപിക്കുക, ഒരു സിസ്റ്റത്തെ ഒറ്റപ്പെടുത്തുക, ഒരു ഉപയോക്താവിനെ തടയുക, ഒരു കണ്ടെത്തൽ ഔദ്യോഗിക റിപ്പോർട്ടാക്കി മാറ്റുക എന്നിവയെല്ലാം യോഗ്യതയുള്ള വിദഗ്ധനാണ്. സ്ഥിരീകരിക്കാത്ത AI ഔട്ട്‌പുട്ട് തെളിയിക്കപ്പെടാത്ത അവകാശവാദമാണ്. ഈ മൊഡ്യൂളിൻ്റെ ഏറ്റവും ചുവന്ന വരി: ഇവിടെ വിശദീകരിച്ചിരിക്കുന്നതെല്ലാം പ്രതിരോധ (പ്രതിരോധ) ആവശ്യങ്ങൾക്കുള്ളതാണ്. അനുമതിയില്ലാതെ ഒരു സിസ്റ്റത്തിലേക്ക് നുഴഞ്ഞുകയറുന്നതിനോ ഒരു ആക്രമണ ഉപകരണം സൃഷ്ടിക്കുന്നതിനോ അനധികൃത പരിശോധന നടത്തുന്നതിനോ AI ഉപയോഗിക്കുന്നത് നിയമവിരുദ്ധവും ഈ മൊഡ്യൂളിൻ്റെ പരിധിക്ക് പുറത്തുള്ളതുമാണ്.

സുരക്ഷാ വർക്ക്ഫ്ലോയും AI-യുടെ സ്ഥലവും

പ്രതിരോധ സുരക്ഷയുടെ ബിസിനസ്സ് മനസിലാക്കാൻ, പ്രക്രിയയെ അഞ്ച് ഘട്ടങ്ങളായി വിഭജിക്കുന്നത് ഉപയോഗപ്രദമാണ്. കണ്ടെത്തൽ: ലോഗിൽ നിന്നും SIEM ഡാറ്റയിൽ നിന്നും സംശയാസ്പദമായ പെരുമാറ്റം ക്യാപ്ചർ ചെയ്യുന്നു. വിശകലനം/ട്രയേജ്: ഒരു അലാറം യഥാർത്ഥമാണോ തെറ്റാണോ എന്ന് വിലയിരുത്തുകയും മുൻഗണന നൽകുകയും ചെയ്യുന്നു (തെറ്റായ പോസിറ്റീവ്). പ്രതികരണം: പരിപാടിയുടെ നിയന്ത്രണം, ഒറ്റപ്പെടൽ, വൃത്തിയാക്കൽ. പ്രതിവിധി: അപകടസാധ്യത അടയ്ക്കൽ, മൂലകാരണം ഇല്ലാതാക്കൽ. റിപ്പോർട്ടിംഗ്: കണ്ടെത്തലിൻ്റെ സാങ്കേതിക, മാനേജുമെൻ്റ് ഡോക്യുമെൻ്റേഷനിലേക്ക് വിവർത്തനം ചെയ്യുക. AI-ക്ക് എല്ലാ അഞ്ച് ഘട്ടങ്ങളും സ്പർശിക്കാൻ കഴിയും, എന്നാൽ ഓരോന്നിനും ഒരേ അധികാരമുള്ളതല്ല.

തുടക്കം മുതൽ കുറച്ച് നിബന്ധനകൾ നിർവചിക്കാം. വിവിധ സ്രോതസ്സുകളിൽ നിന്ന് (സെർവർ, ഫയർവാൾ, ആപ്ലിക്കേഷൻ) ലോഗ് റെക്കോർഡുകൾ ശേഖരിക്കുകയും പരസ്പരം ബന്ധപ്പെടുത്തുകയും നിയമങ്ങൾ അടിസ്ഥാനമാക്കിയുള്ള അലാറങ്ങൾ സൃഷ്ടിക്കുകയും ചെയ്യുന്ന ഒരു സംവിധാനമാണ് SIEM (സെക്യൂരിറ്റി ഇൻഫർമേഷൻ ആൻഡ് ഇവൻ്റ് മാനേജ്മെൻ്റ്). യഥാർത്ഥത്തിൽ ഒരു ഭീഷണി അല്ലാത്ത ഒരു സംഭവം ഒരു അലാറം ഉണ്ടാക്കുന്നതാണ് തെറ്റായ പോസിറ്റീവ്; ഇത് SOC ടീമുകളെ ക്ഷീണിപ്പിക്കുകയും "അലർട്ട് ക്ഷീണം" ഉണ്ടാക്കുകയും ചെയ്യുന്ന ഒരു വേദനയാണ്. ഒരു യഥാർത്ഥ ആക്രമണം ഒരിക്കലും പിടിക്കപ്പെടാത്തതാണ് തെറ്റായ നെഗറ്റീവ്; ഇത് ഏറ്റവും അപകടകരമായ തെറ്റാണ്, കാരണം ഇത് നിശബ്ദമായി ദോഷം ചെയ്യുന്നു. ഐഒസി (ഇൻഡിക്കേറ്റർ ഓഫ് കോംപ്രമൈസ്) ഒരു ആക്രമണത്തിൻ്റെ സൂചന കാണിക്കുന്ന സാങ്കേതിക ട്രെയ്‌സാണ്: ക്ഷുദ്രകരമായ IP വിലാസം, ഒരു ഫയൽ ഹാഷ് (ഹാഷ്), ഒരു ഡൊമെയ്ൻ നാമം. TTP (തന്ത്രങ്ങൾ, സാങ്കേതികതകൾ, നടപടിക്രമങ്ങൾ) ആക്രമണകാരി എങ്ങനെ പെരുമാറുന്നു എന്ന് വിവരിക്കുന്ന ഒരു പെരുമാറ്റ രീതിയാണ്.

ദൗത്യം അനുസരിച്ച് AI-യുടെ റോളും അപകടസാധ്യത നിലയും ഇനിപ്പറയുന്ന പട്ടിക സംഗ്രഹിക്കുന്നു:

അന്വേഷണം

AI യുടെ പങ്ക്

റിസ്ക് ലെവൽ

ആർ അംഗീകരിക്കുന്നു

ലോഗ് സംഗ്രഹം, ശബ്ദം കുറയ്ക്കൽ

ആക്സിലറേറ്റർ, സമ്മേറ്റർ

താഴ്ന്ന

അനലിസ്റ്റ്

ദുർബലത മുൻഗണനാ രൂപരേഖ

സോർട്ടർ, നിർദ്ദേശം

താഴ്ന്ന ഇടത്തരം

അനലിസ്റ്റ്

ഫിഷിംഗ് ഇമെയിൽ വിശകലനം

പ്രീ-യോഗ്യത, വ്യക്തമാക്കൽ

ഇടത്തരം

അനലിസ്റ്റ്

അലാറം ട്രയേജ് (ശരി/തെറ്റ്)

നിർദ്ദേശം ന്യായീകരണം ഉണ്ടാക്കുന്നു

ഇടത്തരം-ഉയരം

അനലിസ്റ്റ് (ഇപ്പോഴും ശരിയാണ്)

സംഭവ പ്രതികരണം പ്ലേബുക്ക് ഡ്രാഫ്റ്റ്

സ്കെച്ച് ജനറേറ്റർ

ഇടത്തരം-ഉയരം

സീനിയർ അനലിസ്റ്റ് / ഐആർ നേതാവ്

സുരക്ഷിത കോഡ് അവലോകനം കണ്ടെത്തൽ

രണ്ടാമത്തെ കണ്ണ്, പോയിൻ്റർ

ഇടത്തരം-ഉയരം

ഡെവലപ്പർ + സുരക്ഷ

സിസ്റ്റം ഒറ്റപ്പെടുത്തൽ / തടയൽ തീരുമാനം

സഹായകരമല്ല

വളരെ ഉയർന്നത്

അംഗീകൃത അനലിസ്റ്റ്

ഔദ്യോഗിക സംഭവ റിപ്പോർട്ട്/അറിയിപ്പ്

ഡ്രാഫ്റ്റ്, വിദഗ്ധൻ ശരിയാക്കുന്നു

വളരെ ഉയർന്നത്

ഐആർ നേതാവ് + നിയമപരമായ/അനുസരണം

ഈ ചാർട്ടിലെ ഒരു വരി ഓർക്കുക: അപകടസാധ്യത വർദ്ധിക്കുന്നതിനനുസരിച്ച്, AI-യുടെ പങ്ക് ചുരുങ്ങുന്നു, മനുഷ്യരുടെ അംഗീകാരം വർദ്ധിക്കുന്നു. AI-യുടെ ഒരു ലൈനിനും ഒരു ഇവൻ്റിനെ അവലോകനത്തിൽ നിന്ന് ഒഴിവാക്കാനാവില്ല.

എന്തുകൊണ്ടാണ് സ്ഥിരീകരണം ഈ ബിസിനസിൻ്റെ കാതൽ

ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസ് അത് നൽകുന്ന ഔട്ട്പുട്ടിൽ ആത്മവിശ്വാസം തോന്നുന്നു, പക്ഷേ അത് ഉറപ്പില്ലായിരിക്കാം. ഒരു ഭാഷാ മോഡൽ നിലവിലില്ലാത്ത CVE നമ്പർ (വൾനറബിലിറ്റി ഐഡി) കെട്ടിച്ചമച്ചേക്കാം, യഥാർത്ഥത്തിൽ നിലവിലില്ലാത്ത ഒരു ലോഗ് ലൈനിനെ പരാമർശിക്കാം, അല്ലെങ്കിൽ ഒരു ഐപി വിലാസം "ക്ഷുദ്രകരം" ആണെന്ന് യാതൊരു തെളിവുമില്ലാതെ അവകാശപ്പെടാം; ഇതിനെ ഹാലുസിനേഷൻ എന്ന് വിളിക്കുന്നു. അതേ മോഡലിന് ഒരു യഥാർത്ഥ ആക്രമണ ശൃംഖലയും നഷ്ടമായേക്കാം. രണ്ട് കെണികളും തുല്യ ദ്രവ്യതയോടെയാണ് വരുന്നത്; ശരിയും തെറ്റും വേർതിരിക്കുന്ന ഒരേയൊരു കാര്യം നിങ്ങളുടെ വൈദഗ്ധ്യവും സ്ഥിരീകരിക്കാനുള്ള നിങ്ങളുടെ ശീലവുമാണ്.

സ്ഥിരീകരണ അച്ചടക്കം മൂന്ന് ഘട്ടങ്ങൾ ഉൾക്കൊള്ളുന്നു:

1. ഇത് തെളിവുമായി ബന്ധിപ്പിക്കുക: ഓരോ AI ക്ലെയിമും ഒരു റോ ലോഗ്, ഒരു യഥാർത്ഥ IOC, പരിശോധിക്കാവുന്ന CVE റെക്കോർഡ് അല്ലെങ്കിൽ കോഡ് എന്നിവയുമായി പൊരുത്തപ്പെടുത്തുക. ഉറവിടം ഉദ്ധരിക്കാനാവാത്ത ഒരു ക്ലെയിമും റിപ്പോർട്ടിൽ ഉൾപ്പെടുത്താൻ കഴിയില്ല. ശ്രദ്ധ ആകർഷിക്കാൻ AI ഉപയോഗിക്കുക, തെളിവായിട്ടല്ല.
2. സ്വതന്ത്രമായി പരിശോധിക്കുക: AI "വൃത്തിയുള്ളത്" എന്ന് വിളിക്കുന്ന മേഖലകളും പരിശോധിക്കുക. ഒരു നെഗറ്റീവ് AI ഔട്ട്പുട്ട് "ഭീഷണി ഇല്ല" എന്നതിൻ്റെ ഒരു ഗ്യാരണ്ടി അല്ല; നിങ്ങളുടെ സ്വന്തം ചിട്ടയായ വിശകലനം ഒരിക്കലും ഒഴിവാക്കരുത്.
3. സന്ദർഭ ഫിൽട്ടർ: ഔട്ട്‌പുട്ട് ഓർഗനൈസേഷൻ്റെ ആർക്കിടെക്ചർ, ബിസിനസ്സ് സന്ദർഭം, അറിയപ്പെടുന്ന സാധാരണ സ്വഭാവം എന്നിവയ്ക്ക് അനുയോജ്യമാണോ എന്ന് വിദഗ്ധമായി പരിശോധിക്കുക. "അനോമലി" എന്നാൽ എല്ലായ്പ്പോഴും "ആക്രമണം" എന്നല്ല അർത്ഥമാക്കുന്നത്.

മുന്നറിയിപ്പ്: എല്ലാ ക്ലെയിമുകളും അസംസ്‌കൃത തെളിവുകളുമായി പൊരുത്തപ്പെടാതെ AI സൃഷ്ടിച്ച ഒരു സംഭവ റിപ്പോർട്ടിൽ ഒപ്പിടുന്നത് തെളിവുകളില്ലാതെ ഒരു ആരോപണം ഉന്നയിക്കുന്നതിന് തുല്യമായ ബാധ്യതയാണ് വഹിക്കുന്നത്. സുഗമമായ ഔട്ട്പുട്ട് കൃത്യമായ ഔട്ട്പുട്ട് അല്ല; ഒരു സുരക്ഷാ തീരുമാനം തെറ്റാണെങ്കിൽ, ചെലവ് ഒരു സിസ്റ്റം ക്രാഷോ ലംഘനമോ ആണ്.

സ്വകാര്യതയും ധാർമ്മികതയും: ലോഗ് ഡാറ്റ സെൻസിറ്റീവ് ഡാറ്റയാണ്

ലോഗ് റെക്കോർഡുകളിൽ ഉപയോക്തൃനാമങ്ങൾ, IP വിലാസങ്ങൾ, ആന്തരിക സെർവർ നാമങ്ങൾ, ഫയൽ പാതകൾ, ചിലപ്പോൾ വ്യക്തിഗത ഡാറ്റ എന്നിവ അടങ്ങിയിരിക്കുന്നു. ടർക്കിയിലെ കെവികെകെ (വ്യക്തിഗത ഡാറ്റ സംരക്ഷണ നിയമം), യൂറോപ്പിലെ ജിഡിപിആർ എന്നിവയ്ക്ക് കീഴിലാണ് ഇവ സംരക്ഷിക്കപ്പെടുന്നത്; കൂടാതെ, ഇവ സ്ഥാപനത്തിൻ്റെ ആക്രമണ ഉപരിതലം വെളിപ്പെടുത്തുന്ന "ആന്തരിക ഇൻ്റലിജൻസ്" ആണ്. ഒരു പൊതു AI ടൂളിലേക്ക് റോ ലോഗ്, യഥാർത്ഥ IP-കൾ, ആന്തരിക സെർവർ പേരുകൾ എന്നിവ ഉപയോഗിച്ച് ഒരു ഇവൻ്റ് ഒട്ടിക്കുന്നത് വ്യക്തിഗത ഡാറ്റ വെളിപ്പെടുത്തുക മാത്രമല്ല, ബാഹ്യ സെർവറിലേക്ക് ഉപയോഗപ്രദമായ ഒരു നെറ്റ്‌വർക്ക് മാപ്പ് കൊണ്ടുപോകുകയും ചെയ്യുന്നു. നിയമം ലളിതമാണ്: അജ്ഞാതമാക്കി ആദ്യം മുഖംമൂടി. യഥാർത്ഥ IP-കൾ, ഉപയോക്തൃനാമങ്ങൾ, ആന്തരിക ഹോസ്റ്റ്നാമങ്ങൾ എന്നിവ മാറ്റിസ്ഥാപിക്കുക; സാധ്യമെങ്കിൽ, ഡാറ്റ പ്രോസസ്സിംഗ് കരാറുള്ള കോർപ്പറേറ്റ് ടൂളുകൾ തിരഞ്ഞെടുക്കുക, കൂടാതെ മോഡൽ പരിശീലനത്തിൽ നിങ്ങളുടെ ഡാറ്റ ഉപയോഗിക്കരുത്.

നൈതിക അതിരുകൾ സാങ്കേതിക അതിർത്തി പോലെ തന്നെ പ്രധാനമാണ്. ഒരു അപകടസാധ്യത കണ്ടെത്തുന്നതും അനുമതിയില്ലാതെ ചൂഷണം ചെയ്യുന്നതും തമ്മിലുള്ള വ്യത്യാസം നിയമപരവും കുറ്റകരവും തമ്മിലുള്ള വ്യത്യാസമാണ്. ഈ മൊഡ്യൂളിൽ, പ്രതിരോധ ആവശ്യങ്ങൾക്കും രേഖാമൂലമുള്ള അനുമതിയോടെയും നിങ്ങൾക്ക് അംഗീകൃതമായ സിസ്റ്റങ്ങളിൽ മാത്രമാണ് നിങ്ങൾ AI ഉപയോഗിക്കുന്നത്. "ഒരു ആക്രമണ ഉപകരണം എഴുതുക", "ഞാൻ എങ്ങനെയാണ് ആ സൈറ്റിലേക്ക് നുഴഞ്ഞുകയറുക", "പ്രവർത്തിക്കുന്ന ഒരു ക്ഷുദ്രവെയർ നിർമ്മിക്കുക" തുടങ്ങിയ കാര്യങ്ങൾ ചെയ്യാൻ AI-യോട് ആവശ്യപ്പെടുന്നത് തൊഴിലിന് പുറത്താണ്, ആധുനിക AI ഉപകരണങ്ങൾ എന്തായാലും അവ നിരസിക്കുന്നു.

മൂന്ന് മിനി കേസുകൾ

കേസ് 1 - സുരക്ഷിതമായ ഉപയോഗം. ഒരു രാത്രി ഷിഫ്റ്റിൽ ഒരു അനലിസ്റ്റ് SIEM-ൽ 1,200 അലാറങ്ങൾ നേരിടുന്നു. AI സംഗ്രഹിക്കുന്ന റോ അലേർട്ടുകൾ ഉണ്ടോ (അജ്ഞാതമാക്കിയത്); AI, 1,200 അലാറങ്ങളെ 18 ക്ലസ്റ്ററുകളായി ചുരുക്കി, "അതേ ആന്തരിക IP-യിൽ നിന്ന് 340 പരാജയപ്പെട്ട ലോഗിനുകൾ മുന്നോട്ട് വലിക്കുന്നു, തുടർന്ന് 1 വിജയം" പാറ്റേൺ. റോ ലോഗ് ഉപയോഗിച്ച് അനലിസ്റ്റ് ഈ ക്ലസ്റ്റർ സ്ഥിരീകരിക്കുകയും ഒരു യഥാർത്ഥ പാസ്‌വേഡ് ബ്രൂട്ട് ഫോഴ്‌സ് ആക്രമണം കണ്ടെത്തുകയും 9 മിനിറ്റിനുള്ളിൽ അക്കൗണ്ട് ലോക്ക് ചെയ്യുകയും ചെയ്യുന്നു. AI ത്വരിതപ്പെടുത്തിയ സോർട്ടിംഗ്; അനലിസ്റ്റ് തീരുമാനവും പരിശോധനയും നടത്തി.

കേസ് 2 - പരിശോധിച്ചുറപ്പിക്കാത്ത ഔട്ട്പുട്ട് ട്രാപ്പ്. മറ്റൊരു അനലിസ്റ്റ് കേടുപാടുകളുടെ പട്ടികയ്ക്ക് AI മുൻഗണന നൽകുന്നു. AI പറയുന്നു "CVE-2024-99999 നിർണായകമാണ്, ഇപ്പോൾ പാച്ച് ചെയ്യുക." അനലിസ്റ്റ് പാച്ച് ചെയ്യാൻ പദ്ധതിയിടുന്നു, പക്ഷേ ഒരിക്കലും CVE റെക്കോർഡ് തുറക്കുന്നില്ല; എന്നാൽ അത്തരമൊരു CVE ഇല്ല - മോഡൽ നിർമ്മിച്ചത് നമ്പർ. നിലവിലില്ലാത്ത ഒരു പാച്ചിനെ പിന്തുടരാൻ ടീമിന് മണിക്കൂറുകൾ നഷ്ടപ്പെടുന്നു, അതേസമയം യഥാർത്ഥ ഗുരുതരമായ അപകടസാധ്യത വൈകുന്നു. സ്ഥിരീകരണം ഒഴിവാക്കി, ക്ലെയിം ഉറവിടവുമായി ബന്ധിപ്പിച്ചിട്ടില്ല.

കേസ് 3 - രഹസ്യാത്മകതയുടെ ലംഘനം. ഒരു സംഭവ അന്വേഷണം വേഗത്തിലാക്കാൻ, ഒരു വിദഗ്‌ദ്ധൻ റോ ഫയർവാൾ ലോഗ്-യഥാർത്ഥ ആന്തരിക ഐപികൾ, ഉപയോക്തൃനാമങ്ങൾ, വിപിഎൻ സെർവർ പേരുകൾ എന്നിവ ഒരു പൊതു AI ടൂളിലേക്ക് ഒട്ടിക്കുന്നു. ഓർഗനൈസേഷൻ്റെ നെറ്റ്‌വർക്ക് ടോപ്പോളജി, നാമകരണ പദ്ധതി, ഉപയോക്തൃ പട്ടിക എന്നിവ ഒരു ബാഹ്യ സെർവറിലേക്ക് പോയി. ഐപികളും പേരുകളും മറയ്ക്കുകയും പാറ്റേൺ മാത്രം പങ്കിടുകയും ചെയ്യുക എന്നതായിരുന്നു ശരിയായ മാർഗം.

ദുർബലമായ പ്രോംപ്റ്റ് / ശക്തമായ പ്രോംപ്റ്റ്

ദുർബലമായ പ്രോംപ്റ്റ്:

ഇനിപ്പറയുന്ന ലോഗിൽ ആക്രമണമുണ്ടോ: 10.2.14.7 ഉപയോക്താവ് ahmet.yilmaz VPN-ൽ പ്രവേശിച്ചു, തുടർന്ന് ഫയൽ സെർവറായ FS-MUHASEBE-01-ലേക്ക് കണക്‌റ്റ് ചെയ്‌തു. ഈ കേടുപാടുകൾക്കും മുൻഗണന നൽകുക.

ഈ അഭ്യർത്ഥന മൂന്ന് തരത്തിൽ പിഴവുള്ളതാണ്: യഥാർത്ഥ IP, ഉപയോക്താവ്, സെർവർ പേര് എന്നിവ പങ്കിടുന്നു (സ്വകാര്യത ലംഘനം), AI യുടെ റോളും അതിരുകളും നിർവചിച്ചിട്ടില്ല, കൂടാതെ പരിശോധിക്കാവുന്ന തെളിവുകൾ അഭ്യർത്ഥിക്കുന്നില്ല. AI ഊഹക്കച്ചവടത്തിലൂടെ വിടവുകൾ നികത്തുകയും കൃത്രിമത്വത്തിൻ്റെ അപകടസാധ്യത ഉയരുകയും ചെയ്യുന്നു.

ശക്തമായ നിർദ്ദേശം:

നിങ്ങളുടെ റോൾ: SOC അനലിസ്റ്റിൻ്റെ ഡ്രാഫ്റ്റ് അസിസ്റ്റൻ്റ്. തീരുമാനമെടുക്കൽ; സംഭവം "ആക്രമണം" ആയി പ്രഖ്യാപിക്കുക, സിസ്റ്റം ഒറ്റപ്പെടുത്തുക അല്ലെങ്കിൽ ഉപയോക്താവിനെ തടയുക. ഞാൻ നിങ്ങൾക്ക് നൽകിയ അജ്ഞാത ലോഗ് പാറ്റേൺ വിശകലനം ചെയ്യുക. ഓരോ ക്ലെയിമിനും, നിങ്ങൾ ഏത് ലോഗ് ലൈനിനെ അടിസ്ഥാനമാക്കിയാണെന്ന് സൂചിപ്പിക്കുക; നിങ്ങൾക്ക് ഉറപ്പില്ലാത്തിടത്ത് "[അനലിസ്റ്റ് പരിശോധിച്ചുറപ്പിക്കുക]" എന്ന് അടയാളപ്പെടുത്തുക; IOC, CVE അല്ലെങ്കിൽ IP തട്ടിപ്പ്. അജ്ഞാത സംഭവം: 03:14-ന് YURTDISI_IP വഴി USER_A VPN ആക്‌സസ് ചെയ്‌തു; തുടർന്ന് 4,000 ഫയലുകൾ ആന്തരിക ഫയൽ സെർവറിലേക്ക് ആക്സസ് ചെയ്തു; ഉപയോക്താവ് സാധാരണയായി 09:00-18:00 വരെ പ്രവർത്തിക്കുന്നു. ചോദ്യങ്ങൾ: (1) സംശയാസ്പദമായ പാറ്റേണുകൾ ഏതൊക്കെയാണ്, (2) എന്ത് അധിക രേഖകളാണ് ഞാൻ അന്വേഷിക്കേണ്ടത്, (3) തെറ്റായ പോസിറ്റീവുകൾ ഉണ്ടാകുമോ?

ശക്തമായ ഇച്ഛാശക്തി അജ്ഞാതമാണ്, റോളും അതിരുകളും നിർവചിക്കുന്നു, തെളിവുകളുമായുള്ള അറ്റാച്ച്മെൻറും തെറ്റായ പോസിറ്റീവുകളുടെ സാധ്യതയും ചോദ്യം ചെയ്യുന്നു, കെട്ടിച്ചമച്ചതിനെ നിരോധിക്കുന്നു.

പകർത്താവുന്ന പ്രോംപ്റ്റ് ടെംപ്ലേറ്റുകൾ

റോളും ബൗണ്ടറി വിവരണ ഫലകവും നിങ്ങളുടെ പങ്ക്: ഡ്രാഫ്റ്റ്/വിശകലനം തയ്യാറാക്കുന്ന സുരക്ഷാ അനലിസ്റ്റിൻ്റെ സഹായി. നിങ്ങൾ ഒരു വിശകലന വിദഗ്ധനല്ല; സംഭവം ആക്രമണമായി പ്രഖ്യാപിക്കുക, സിസ്റ്റം ഒറ്റപ്പെടുത്തുക, ഉപയോക്താവിനെ തടയുക അല്ലെങ്കിൽ ഔദ്യോഗിക റിപ്പോർട്ട് അന്തിമമാക്കുക. അന്തിമ തീരുമാനവും ഒപ്പും അനലിസ്റ്റിൻ്റേതാണ്. ഓരോ ക്ലെയിമിനും തെളിവുകൾ കാണിക്കുക (ലോഗ് ലൈൻ, IOC, CVE, കോഡ്); തെളിവുകളില്ലാത്ത എന്തെങ്കിലും "[പരിശോധിച്ചിരിക്കണം]" എന്ന് അടയാളപ്പെടുത്തുക, അത് ഉണ്ടാക്കരുത്. ടാസ്ക്: [എഴുതേണ്ട ചുമതല].

അജ്ഞാതവൽക്കരണ നിയന്ത്രണ ടെംപ്ലേറ്റ്, ഇനിപ്പറയുന്ന സുരക്ഷാ ഡാറ്റയിൽ നിന്ന് യഥാർത്ഥ IP വിലാസങ്ങൾ, ഉപയോക്തൃ നാമങ്ങൾ, ആന്തരിക ഹോസ്റ്റ്/സെർവർ നാമങ്ങൾ, ഇ-മെയിൽ, ഡൊമെയ്ൻ നാമങ്ങൾ, കോർപ്പറേറ്റ് വിവരങ്ങൾ എന്നിവ വേർതിരിച്ചെടുക്കുക; സ്ഥിരമായ പ്ലെയ്‌സ്‌ഹോൾഡറുകൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുക (USER_A, IC_IP_1, HOST_1).വിശകലനത്തിന് ആവശ്യമായ പാറ്റേൺ മാത്രം സൂക്ഷിക്കുക. ഒരു ലിസ്റ്റിലെ മാറ്റങ്ങളെക്കുറിച്ച് എന്നെ അറിയിക്കുക. ഡാറ്റ: [ഡാറ്റ ഒട്ടിക്കുക]

സാധൂകരണ പരിശോധന ടെംപ്ലേറ്റ് നിങ്ങൾ നിർമ്മിക്കുന്ന ഓരോ കണ്ടെത്തലിനും, അതിനടുത്തായി എഴുതുക: (1) അത് ഏത് തെളിവിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്, (2) ഏത് അസംസ്‌കൃത രേഖ/ഉറവിടം പരിശോധിക്കാൻ ഞാൻ തുറക്കണം, (3) തെറ്റായ പോസിറ്റീവിനുള്ള സാധ്യത, എന്തുകൊണ്ട്. കൃത്യമായ ഭാഷയ്ക്ക് പകരം ആവശ്യമുള്ളപ്പോൾ "സാധ്യമായത്/സംശയിക്കാവുന്നത്" ഉപയോഗിക്കുക. നിലവിലില്ലാത്ത CVE/IOC/IP ഫാബ്രിക്കേഷൻ.

റിസ്ക് ലെവൽ അലോക്കേഷൻ ടെംപ്ലേറ്റ് സുരക്ഷാ അസൈൻമെൻ്റിനെ തരംതിരിക്കുക, ഞാൻ നിയോഗിക്കുകയും ന്യായീകരണം എഴുതുകയും ചെയ്യും: (എ) കുറഞ്ഞ റിസ്ക് - AI ഔട്ട്‌ലൈൻ/സംഗ്രഹം മതി, (ബി) മീഡിയം റിസ്ക് - അനലിസ്റ്റ് പരിശോധിക്കണം, (സി) ഉയർന്ന/വളരെ ഉയർന്ന അപകടസാധ്യത - തീരുമാനം/ഒറ്റപ്പെടൽ/അറിയിപ്പ് അനലിസ്റ്റിൻ്റെതാണ്, AI മാത്രം സഹായകരമാണ്. ടാസ്ക്: [എഴുതേണ്ട ചുമതല].

സാധാരണ തെറ്റുകൾ

• AI ഒരു അനലിസ്റ്റായി തെറ്റിദ്ധരിക്കുന്നു. പാറ്റേണുകൾക്കായി AI സ്കാൻ ചെയ്യുന്നു, എന്നാൽ ഉത്തരവാദിത്തമോ അധികാരമോ ഇല്ല; നിങ്ങൾ തീരുമാനിക്കൂ. ഔട്ട്പുട്ട് ഒരു ഡ്രാഫ്റ്റാണ്, ഒരു വിധിയല്ല.
• യഥാർത്ഥ IP, ഉപയോക്താവ്, ഹോസ്റ്റ് പേര് എന്നിവ പങ്കിടുന്നു. ഇത് കെവികെകെ ലംഘനവും ആക്രമണകാരിക്ക് പ്രയോജനം ചെയ്യുന്ന നെറ്റ്‌വർക്ക് മാപ്പ് ചോർച്ചയുമാണ്; ആദ്യം മുഖംമൂടി.
• നെഗറ്റീവ് AI ഔട്ട്പുട്ടിനെ ആശ്രയിക്കുകയും തിരയലിൽ വിശ്രമിക്കുകയും ചെയ്യുന്നു. "ഭീഷണിയില്ല" എന്നത് യഥാർത്ഥത്തിൽ ഇല്ല എന്നല്ല അർത്ഥമാക്കുന്നത്; നിങ്ങളുടെ സ്വന്തം ചിട്ടയായ വിശകലനം ഒരിക്കലും ഒഴിവാക്കരുത്.
• പരിശോധിച്ചുറപ്പിക്കാതെ നിർമ്മിച്ച CVE/IOC ഉപയോഗിക്കുന്നു. മോഡൽ നമ്പറും സൂചകവും പൊരുത്തപ്പെടുത്താനാകും; ഓരോന്നും ഔദ്യോഗിക ഉറവിടം ഉപയോഗിച്ച് സ്ഥിരീകരിക്കുക.
• അനധികൃത/കുറ്റകരമായ ഉപയോഗം. രേഖാമൂലമുള്ള അനുമതിയോടെ നിങ്ങളുടെ സ്വന്തം സിസ്റ്റത്തിൽ പ്രതിരോധപരമായി മാത്രം പ്രവർത്തിക്കുക; അല്ലാത്തപക്ഷം അത് നിയമവിരുദ്ധവും അധാർമ്മികവുമാണ്.

നുറുങ്ങ്: ഓരോ ടാസ്ക്കിനും സ്വയം ഒരു ചോദ്യം ചോദിക്കുക: "ഈ ഔട്ട്പുട്ട് തെറ്റാണെങ്കിൽ എന്ത് സംഭവിക്കും?" "ഒരു ആക്രമണം രക്ഷപ്പെടുന്നു" അല്ലെങ്കിൽ "ബിസിനസ് തടസ്സം സംഭവിക്കുന്നു" എന്നാണ് ഉത്തരമെങ്കിൽ - അത് പലപ്പോഴും സുരക്ഷയിൽ ചെയ്യുന്നതുപോലെ - സംഗ്രഹം/നിർദ്ദേശം/ഔട്ട്‌ലൈനിന് മാത്രം AI ഉപയോഗിക്കുക, സ്ഥിരീകരണം ഒരിക്കലും ഒഴിവാക്കരുത്.

ചുരുക്കത്തിൽ

സൈബർ സുരക്ഷയിൽ ആർട്ടിഫിഷ്യൽ ഇൻ്റലിജൻസ് ഒരു ശക്തമായ സഹായിയാണ്: ഇത് ലോഗ് സംഗ്രഹിക്കുന്നു, അലാറം അടുക്കുന്നു, ഫിഷിംഗ് വിശകലനം ചെയ്യുന്നു, കോഡ് സ്കാൻ ചെയ്യുന്നു, ഡ്രാഫ്റ്റ് റിപ്പോർട്ടുകൾ സൃഷ്ടിക്കുന്നു. എന്നാൽ ഇതൊരു സുരക്ഷാ നിർണായക മേഖലയാണ്; ഒരു സംഭവം ആക്രമണമായി പ്രഖ്യാപിക്കുക, ഒരു സിസ്റ്റം ഒറ്റപ്പെടുത്തുക, ഒരു ഉപയോക്താവിനെ തടയുക, ഔദ്യോഗിക റിപ്പോർട്ട് ഫയൽ ചെയ്യുക എന്നിവയെല്ലാം യോഗ്യതയുള്ള വിദഗ്ധനാണ്. പ്രക്രിയയുടെ അഞ്ച് ഘട്ടങ്ങളിൽ AI യുടെ പങ്ക് (കണ്ടെത്തൽ, വിശകലനം, ഇടപെടൽ, പ്രതിവിധി, റിപ്പോർട്ടിംഗ്) അപകടസാധ്യതയുടെ തോത് അനുസരിച്ച് വ്യത്യാസപ്പെടുന്നു; അപകടസാധ്യത വർദ്ധിക്കുന്നതിനനുസരിച്ച്, മനുഷ്യൻ്റെ അംഗീകാരം വർദ്ധിക്കുന്നു. മൂന്ന് അച്ചടക്കങ്ങൾ ഓരോ ഘട്ടത്തിലും കാവൽ നിൽക്കുന്നു: തെളിവുകൾ, സ്വതന്ത്ര പരിശോധന, സന്ദർഭ ഫിൽട്ടർ. എല്ലാറ്റിനും താഴെ, രണ്ട് പരിധികളുണ്ട്: രഹസ്യാത്മകത (അജ്ഞാതമാക്കാതെ അസംസ്കൃത ഡാറ്റ കയറ്റുമതി ചെയ്യുക), ധാർമ്മികത (അംഗീകൃത, പ്രതിരോധ, അംഗീകൃത ഉപയോഗം മാത്രം).

ആപ്ലിക്കേഷൻ ടാസ്ക്

നിങ്ങളുടെ സ്വന്തം ഓർഗനൈസേഷനിൽ നിന്ന് മൂന്ന് ടാസ്‌ക്കുകൾ തിരഞ്ഞെടുക്കുക (അല്ലെങ്കിൽ ഒരു ഉദാഹരണ സാഹചര്യം): ഒരു കുറഞ്ഞ അപകടസാധ്യത (ഉദാ. പ്രതിദിന അലേർട്ട് സംഗ്രഹം), ഒരു ഇടത്തരം അപകടസാധ്യത (ഉദാ. ഫിഷിംഗ് വിശകലനം), ഒരു ഉയർന്ന അപകടസാധ്യത (ഉദാ. ഒരു സിസ്റ്റം ഒറ്റപ്പെടുത്താനുള്ള തീരുമാനം). ഓരോന്നിനും, (1) ഒരു വാചകത്തിൽ AI യുടെ പങ്ക് വിവരിക്കുക, (2) നിങ്ങൾ എന്ത് സ്ഥിരീകരണ ഘട്ടം സ്വീകരിക്കുമെന്ന് എഴുതുക, (3) നിങ്ങൾ ഡാറ്റയെ അജ്ഞാതമാക്കുന്നത് എങ്ങനെയെന്ന് സൂചിപ്പിക്കുക. തുടർന്ന് "റോളും ബൗണ്ടറീസ് ഡെഫിനിഷനും" ടെംപ്ലേറ്റ് നിങ്ങളുടെ ഇടത്തരം അപകടസാധ്യതയുള്ള ടാസ്ക്കിലേക്ക് പൊരുത്തപ്പെടുത്തുക, ഒരു പ്രോംപ്റ്റ് എഴുതുക, അസംസ്കൃത തെളിവുകൾ ഉപയോഗിച്ച് അതിൻ്റെ ഔട്ട്പുട്ട് നിങ്ങൾ എങ്ങനെ പരിശോധിക്കുമെന്ന് ശ്രദ്ധിക്കുക.

ചെക്ക്ലിസ്റ്റ്

• [ ] ഞാൻ ടാസ്‌ക്കിൻ്റെ റിസ്ക് ലെവൽ (കുറഞ്ഞ/ഇടത്തരം/ഉയർന്ന/വളരെ ഉയർന്നത്) നിർണ്ണയിച്ചു.
• [ ] ഞാൻ AI യുടെ റോൾ "അസിസ്റ്റൻ്റ്/സമ്മറി/നിർദ്ദേശം/ഡ്രാഫ്റ്റ്" ആയി പരിമിതപ്പെടുത്തി; തീരുമാനവും ഒപ്പും അനലിസ്റ്റിൻ്റെ പക്കലാണ്.
• [] ഞാൻ ഡാറ്റ അജ്ഞാതമാക്കി; യഥാർത്ഥ IP, ഉപയോക്താവ്, ഹോസ്റ്റ്, ഡൊമെയ്ൻ നാമങ്ങൾ മറയ്ക്കപ്പെട്ടിരിക്കുന്നു.
• [ ] എല്ലാ ക്ലെയിമുകളും അസംസ്‌കൃത തെളിവുകൾ (ലോഗ്, IOC, CVE, കോഡ്) ഉപയോഗിച്ച് പരിശോധിക്കാമെന്ന് ഞാൻ വാഗ്ദാനം ചെയ്തു.
• [ ] നെഗറ്റീവ് AI ഔട്ട്പുട്ട് ഉണ്ടായിരുന്നിട്ടും, ഞാൻ എൻ്റേതായ ചിട്ടയായ വിശകലനം നടത്തും.
• [ ] ഇത് വ്യാജ CVE/IOC/IP ആണെന്ന് അറിയാവുന്നതിനാൽ, ഞാൻ അത് ഔദ്യോഗിക ഉറവിടം ഉപയോഗിച്ച് സ്ഥിരീകരിക്കും.
• [ ] ഞാൻ അംഗീകൃതവും പ്രതിരോധവും രേഖാമൂലമുള്ള അംഗീകൃത ഉപയോഗവും മാത്രമായി പരിമിതപ്പെടുത്തിയിരിക്കുന്നു.