Keuntungan:
- Keupayaan untuk menormalkan berbilang sumber cap masa kepada satu rujukan (UTC) dan menandakan anomali dan jurang dalam garis masa super dengan kecerdasan buatan
- Keupayaan untuk membezakan antara korelasi dan kausalitas dan mengesahkan naratif yang ditubuhkan oleh kecerdasan buatan dengan menghubungkan setiap peristiwa kepada sumbernya
- Keupayaan untuk mengenali risiko seperti timestomping, jam drift dan jurang log dan mengesahkannya dengan pelbagai sumber
Hanya ada satu perkara yang memberitahu anda bila, bagaimana dan dalam susunan peristiwa siber sebenarnya berlaku: masa. Apabila penyerang memasuki sistem, fail mana yang disentuhnya dan apabila, apabila dia mengeksfiltrasi data — semua ini disimpan dalam log yang berbeza (fail rakaman di mana sistem merekodkan peristiwa) dan cap masa yang berbeza (cap masa — rekod tarikh dan masa peristiwa berlaku). Analisis garis masa menyusun cap masa yang bertaburan ini ke dalam satu naratif kronologi dan bertanya "apa yang berlaku?" Ia adalah seni menjawab soalan. Dalam unit ini, kita akan melihat bagaimana AI memberikan kelajuan yang hebat dalam mengatur data yang tidak kemas ini dan di mana ia boleh mengelirukan anda.
Banyaknya dan perangkap cap masa
Malah satu fail mempunyai beberapa cap masa. Sebagai contoh, sistem fail mempunyai setem MACB: Diubahsuai, Diakses, Berubah, Lahir. Di samping itu, terdapat log peristiwa sistem pengendalian (Log Acara Windows), log pelayan web, log firewall, log aplikasi dan rekod pendaftaran (pendaftaran Windows - pangkalan data hierarki di mana tetapan sistem dan aplikasi disimpan).
Perangkap terbesar ialah zon waktu dan hanyut masa. Satu log merekodkan UTC (waktu universal diselaraskan), satu lagi waktu tempatan; jam sistem mungkin ditetapkan dengan salah; Penyerang mungkin sengaja memanipulasi cap masa (timestomping — memalsukan cap masa fail). Jadi sebelum mewujudkan garis masa, zon waktu dan ketepatan jam setiap sumber mesti ditentukan, semuanya dinormalkan kepada rujukan biasa (biasanya UTC).
Awas: Adalah satu kesilapan klasik untuk meletakkan dua log bersebelahan pada tempoh masa yang berbeza dan mengatakan "ia berlaku pada masa yang sama". Tukar semua cap masa kepada satu rujukan sebelum mengaitkan; Jika tidak, hubungan sebab-akibat yang ditubuhkan oleh AI (dan anda) adalah busuk dari awal.
Garis masa super dan AI
Dalam forensik komputer, struktur yang menggabungkan semua sumber ini dipanggil garis masa super; Ia sering dijana dengan alatan seperti Plaso/log2timeline dan boleh menjadi berpuluh-puluh ribu atau bahkan berjuta-juta baris. Di sinilah AI masuk: menandakan corak dan anomali yang bermakna pada carta besar ini.
Sumbangan selamat AI:
- Penandaan anomali: Akses di luar waktu, peningkatan keistimewaan secara tiba-tiba, rantaian proses yang luar biasa, berbilang log masuk gagal dalam selang masa yang singkat.
- Pengelompokan acara: Mengumpulkan acara yang tertumpu pada tetingkap masa yang sama dan menandakannya sebagai "sesuatu telah berlaku di sini."
- Rangka naratif: Menterjemah peristiwa yang disahkan ke dalam cerita kronologi bahasa biasa (draf pertama untuk laporan).
- Pengesanan jurang: "Tiada log dalam selang 40 minit ini — mungkinkah ia telah dipadamkan?" Bertanya tentang kekurangan seperti.
Dalam setiap satu, AI menjana hipotesis; Anda membuktikan kausaliti dan nilai bukti.
Petua: Apabila memberikan garis masa kepada AI, mula-mula nyatakan dengan jelas zon waktu dan format: "Semua cap masa adalah dalam format UTC, ISO 8601." Biasakan format campuran dahulu; Membiarkan AI meneka format adalah jemputan untuk ralat.
Korelasi bukan sebab
Ralat logik yang paling berbahaya dalam analisis masa ialah memikirkan bahawa penggantian adalah sebab dan akibat. "USB telah dimasukkan pada 22:10, fail telah disalin pada 22:12" dua peristiwa mungkin berlaku berturut-turut, tetapi ia tidak membuktikan bahawa orang yang sama melakukannya untuk tujuan yang sama; Mungkin ada penjelasan lain. Walaupun AI membina naratif yang lancar, ia tidak melihat jurang ini dan boleh menghasilkan ayat yang tepat seperti "Data telah dicuri melalui USB." Tugas pakar adalah untuk menghapuskan penjelasan alternatif dan menyokong setiap langkah dengan bukti bebas.
tiga kes mini
Kes 1 — Hanyut jam ditangkap. Dalam satu kes, log pelayan web dan log firewall kelihatan berbeza selama 3 jam. Dalam draf pertama, AI menganggap ini "dua serangan berasingan." Pakar mendapati bahawa zon waktu pelayan telah ditetapkan dengan tidak betul; Apabila dinormalkan, kedua-dua log masuk ke dalam satu peristiwa. "Perbezaan hantu" selama 3 jam telah hilang.
Kes 2 — Jurang mendedahkan pemadaman. Dalam garis masa super 1.1 juta baris, AI menandakan bahawa tiada rekod antara 02:30-03:10. Pakar memeriksa: Dalam tetingkap ini, log keselamatan sengaja dibersihkan (penghapusan log). Kekosongan itu sendiri menjadi salah satu bukti kuat serangan itu.
Kes 3 — Halusinasi mengada-adakan peristiwa. Semasa membuat ringkasan, YZ berkata, "Akaun pentadbir telah dibuat pada 03:45." Pakar melihat sumber: tiada ID Peristiwa sedemikian — nombor dalam log Windows yang menunjukkan jenis acara; AI menggabungkan dua baris berbeza dan menghasilkan peristiwa yang tidak wujud. Langkah memaut kepada sumber menghalang naratif palsu.
Empat templat yang boleh disalin
1) Pelan normalisasi masa:
Peranan anda: penganalisis garis masa forensik. Saya akan memberi anda cap masa daripada sumber yang berbeza (format dan tempoh masa mungkin berbeza). Mula-mula tentukan format dan zon masa setiap sumber, kemudian buat rancangan untuk menukar semuanya kepada UTC / ISO 8601. Tandakan zon waktu yang anda tidak pasti sebagai "memerlukan pengesahan".
2) Penandaan anomali:
Konteks: pelayan perusahaan, waktu kerja biasa 08:00-18:00 (UTC+3). Saya akan memberikan anda senarai acara yang dinormalkan. Berdasarkan hanya rekod yang SEBENARNYA muncul dalam senarai, tandakan perkara berikut: akses di luar waktu, peningkatan keistimewaan, log masuk berulang kali gagal, rantai proses luar biasa. Bagi setiap tanda, petik baris yang berkaitan. Menambah tafsiran/sebab; Saya akan menilainya.
3) Rangka naratif (untuk laporan):
Di bawah ialah peristiwa yang saya SAHKAN (masing-masing dengan sumbernya). Ubahnya menjadi naratif kronologi yang ringkas. Gunakan hanya acara yang saya berikan; menambah peristiwa, ramalan atau sebab akibat baharu. Tulis sambungan samar-samar dalam bahasa yang mencirikannya sebagai "mungkin."
4) Pengimbasan jurang dan ketidakkonsistenan:
Dalam garis masa yang dinormalisasi ini: (1) tandakan tempoh log yang dijangka tetapi kelihatan tiada, (2) rekod yang tidak teratur (masa hadapan ke masa lalu), (3) lonjakan yang muncul secara berkelompok/secara automatik. Tunjukkan setiap satu dengan jarak baris yang sepadan. Jelaskan bahawa ini mungkin TANDA pemadaman/manipulasi tetapi bukan bukti.
Gesaan lemah / Gesaan kuat
Gesaan yang lemah:
Ringkaskan log ini dan terangkan apa yang berlaku.
Tiada sekatan jangka masa, sumber atau "rakaman sebenar sahaja"; AI boleh membina cerita yang fasih tetapi direka-reka.
Gesaan kuat:
Peranan anda: penganalisis log forensik. Sumber: 3 log (Keselamatan Windows, akses Apache, tembok api), semuanya dinormalkan kepada UTC, ISO 8601. Tugas: menyenaraikan acara secara kronologi dari 14 Mac 21:00-23:00 berdasarkan baris yang diberikan sahaja; petikan setiap baris dengan sumber dan ID/kod Acaranya. Mewujudkan korelasi, menuntut kausalitas; saya akan komen. Tandakan selang yang anda lihat sebagai tiada atau luar biasa secara berasingan.
Sumber, rujukan normal, kekangan "baris yang diberikan sahaja" dan "wujudkan kausalitas" menjadikan output boleh dipertahankan.
Jadual sumber cap masa
Sumber
Contoh cap masa
Perhatian
Sistem fail (MACB)
Ubah suai/akses/buat
Terbuka kepada timestomping
Log Acara Windows
Log masuk, proses, acara perkhidmatan
Sahkan ID Acara
log pelayan web
minta masa
semakan zon waktu
tembok api/rangkaian
sambungan, penolakan
Penyegerakan jam (NTP)
Pendaftaran
Masa menulis terakhir
Komen memerlukan kepakaran
Apl/pelayar
sejarah, cache
mungkin waktu tempatan
Kesilapan biasa
- Mewujudkan korelasi tanpa menormalkan tempoh masa. Potongan yang berbeza mencipta "konkurensi" palsu.
- Tersalah korelasi untuk sebab musabab. Kejadian berturut-turut tidak bermakna pelaku/tujuan yang sama.
- Kepercayaan mutlak pada cap masa. Timestomping dan masa yang salah adalah mungkin; Sahkan dengan pelbagai sumber.
- Tidak mengesahkan acara yang AI telah dipasang. Penyatuan dua baris mungkin menghasilkan peristiwa yang tidak wujud.
- Tidak menghiraukan jurang. Log yang hilang selalunya merupakan bukti yang paling penting.
Secara ringkasnya
Analisis garis masa ialah tindakan menyusun cap masa yang bertaburan ke dalam satu kronologi yang boleh disahkan. AI memberikan kelajuan hebat dalam pembenderaan anomali, pengelompokan, pengesanan jurang dan penggubalan naratif merentas garis masa super sejuta baris. Tetapi normalisasi tempoh masa, perbezaan korelasi-sebab, dan atribusi setiap peristiwa kepada sumber adalah milik manusia. AI menjana hipotesis; Anda yang mempertahankan kronologi di mahkamah.
Tugasan permohonan
Sediakan senarai contoh acara 15-20 baris dalam format dan zon waktu yang berbeza (sengaja memasukkan syif masa dan ruang). Mula-mula tukar semuanya kepada UTC dengan templat "Pelan normalisasi masa". Kemudian gunakan templat "Petandaan anomali" dan "Imbasan jurang" dan sahkan drift jam dan jurang yang direkodkan oleh AI pada sumbernya.
senarai semak
- [ ] Saya menormalkan semua cap masa kepada satu rujukan (UTC).
- [ ] Saya memautkan setiap acara kepada sumbernya (fail/ID Acara/baris).
- [ ] Saya membezakan antara korelasi dan sebab; Saya mempertimbangkan penjelasan alternatif.
- [ ] Saya menandakan jurang log dan rekod luar biasa.
- [ ] Saya mengesahkan peristiwa yang AI disatukan/diringkaskan dalam rakaman asal.