Aliran Kerja SOC hujung-ke-hujung, Automasi (SOAR), Pengurusan Kualiti dan Audit Kendiri — Kecerdasan Buatan dalam Keselamatan Siber

Keuntungan:

Keupayaan untuk mereka bentuk aliran kerja SOC hujung ke hujung yang terdiri daripada pengumpulan, pengesanan, triage, penyiasatan, intervensi, penambahbaikan, pelaporan dan maklum balas, menentukan lokasi kecerdasan buatan dan pintu manusia
Keupayaan untuk mengasingkan automasi mengikut tahap risiko (langkah berisiko rendah/boleh diterbalikkan adalah automatik, langkah berisiko tinggi/tidak boleh diterbalikkan dikawal oleh manusia) dan mereka bentuk laluan rollback untuk setiap tindakan automatik.
Keupayaan untuk mewujudkan gelung pemantauan kendiri dan maklum balas yang kerap mengukur kadar positif/negatif palsu, MTTD/MTTR, ketepatan output dan hanyut model

Unit akhir ini menggabungkan bahagian yang kami pelajari secara berasingan sepanjang modul—analisis log, pemburuan ancaman, pengurusan kerentanan, tindak balas insiden, pancingan data, semakan kod, risikan, pelaporan—ke dalam satu aliran kerja hujung ke hujung. Dalam pusat operasi keselamatan sebenar (SOC), langkah-langkah ini tidak diputuskan; Penggera mencetuskan penyiasatan, yang mencetuskan respons, yang mencetuskan laporan, yang mencetuskan pemulihan. Kecerdasan buatan terlibat dalam setiap pautan rantai ini, tetapi manusialah yang memegang rantai dan membuat keputusan di setiap pintu kritikal.

Selain itu, unit ini merangkumi dua topik kritikal. Yang pertama ialah automasi: Apabila SOAR (Security Orchestration, Automation and Response — platform yang mengautomasikan dan mengatur proses keselamatan) dan AI bergabung, kedua-dua kuasa dan risiko meningkat; Adalah perlu untuk membezakan antara apa yang boleh diautomasikan dan apa yang tidak boleh dialih keluar daripada kelulusan manusia. Kedua, pengurusan kualiti dan kawal selia kendiri: Operasi keselamatan yang didayakan AI tidak disediakan dan ditinggalkan sekali; ia sentiasa dipantau, diukur, disuap kembali dan diperbetulkan. Automasi meningkatkan kelajuan tetapi tidak menghapuskan tanggungjawab; Program keselamatan kekal selamat hanya melalui pemantauan kendiri biasa.

Aliran kerja SOC hujung ke hujung

Mari lihat di mana AI berperanan dan siapa yang meluluskannya dalam kitaran hayat insiden biasa:

Pengumpulan dan pemantauan: Log mengalir ke SIEM; AI mengurangkan bunyi, meringkaskan. (Automatik, berisiko rendah.)
Pengesanan dan penggera: Peraturan + anomali + pengesanan corak AI. (Pengeluaran automatik; triage adalah pada manusia.)
Triage: Adakah penggera itu positif atau palsu? AI mencadangkan rasional dan keutamaan; penganalisis mengesahkan. (Pintu manusia.)
Penyiasatan: AI mengumpul bukti, menetapkan garis masa, menyenaraikan punca; penganalisis mengesahkan dengan bukti mentah. (Pintu manusia.)
Intervensi: Pengasingan, penguncian, pembersihan. AI menyediakan pilihan/pengaruh; Keputusan adalah di tangan penganalisis yang diberi kuasa. (Pintu manusia kritikal.)
Pemulihan: Penutupan kerentanan, penghapusan punca punca. Draf rancangan AI; kelulusan dalam pengurusan perubahan. (Manusia + proses.)
Pelaporan: AI menulis draf, menyesuaikan diri dengan penonton; Pakar mengesahkan dan menandatangani bukti. (Pintu manusia.)
Pembelajaran pelajaran dan maklum balas: AI mengekstrak corak; Mengemas kini peraturan pengesanan pasukan dan buku permainan. (Manusia + proses.)

Peraturan rantaian ini: langkah berisiko rendah, berulang, boleh diterbalikkan boleh diautomasikan; Langkah-langkah berisiko tinggi, tidak boleh diubah, memerlukan pertimbangan melalui pintu manusia.

Jadual keputusan automasi

langkah

Bolehkah ia automatik

syarat

kelulusan manusia

Pengumpulan log, normalisasi

Ya, betul-betul

—

tidak perlu

Pengayaan penggera (carian IOC)

Sumber boleh dipercayai

Ia dikaji semula

Penyingkiran positif palsu (yang diketahui baik)

sebahagiannya

peraturan yang ketat

Diperiksa dengan pensampelan

E-mel pancingan data kuarantin

sebahagiannya

ketepatan tinggi

Semakan + laluan balik

Kunci akaun secara automatik

berhati-hati

Hanya kriteria yang jelas

Pengesahan manusia pantas

Asingkan pelayan

Secara amnya tidak

Kecuali infrastruktur kritikal

Keputusan manusia yang terpaksa

Menampal (pengeluaran)

tidak

—

Menguji + pengurusan perubahan

Laporan/pemberitahuan rasmi

tidak

—

Pakar + undang-undang

Pengurusan kualiti dan audit kendiri

Operasi keselamatan yang dikuasakan AI ialah sistem hidup; prestasinya berubah dari semasa ke semasa (serangan baharu, perubahan persekitaran, kemas kini model). Pengukuran tetap diperlukan untuk memastikan ia selamat:

Kadar positif palsu dan negatif palsu: Berapa kerap AI menimbulkan penggera dengan sia-sia, berapa kerapkah ia terlepas ancaman sebenar? Negatif palsu amat diperhatikan kerana ia secara senyap menyebabkan kemudaratan.
MTTD/MTTR: Adakah purata pengesanan dan masa tindak balas bertambah baik?
Ketepatan output AI: Dengan pensampelan, berapa banyak ringkasan/penemuan/petikan AI lulus pengesahan?
Keselamatan automasi: Adakah tindakan automatik berfungsi seperti yang diharapkan, adakah terdapat sebarang pencetus palsu, adakah pengembalian berfungsi?
Gelung maklum balas: Adakah peristiwa sebenar ditemui menjadi peraturan pengesanan baharu dan penggera yang dibangkitkan menjadi senarai pengecualian?

Terma: MTTD (Masa Min Untuk Mengesan). Gelung maklum balas ialah apabila operasi belajar daripada keputusannya sendiri dan mengemas kini peraturannya. Model drift ialah apabila AI menjadi usang dan prestasi menurun apabila persekitaran berubah. Audit kendiri ialah semakan yang kerap dan kritikal terhadap proses pasukan sendiri.

tiga kes mini

Kes 1 — Automasi yang betul. SOC mengautomasikan langkah "memperkaya dan mengutamakan makluman secara automatik yang sepadan dengan IOC berniat jahat yang diketahui dan berada dalam kategori berisiko rendah"; tetapi sentiasa meninggalkan langkah "mengasingkan pelayan" untuk kelulusan manusia. Hasilnya: penganalisis dibebaskan daripada 400 penggera rutin sehari, membebaskan masa untuk siasatan sebenar, menyerahkan keputusan kritikal kepada manusia. Bahagian kanan rantai adalah automatik, tempat yang betul adalah manusia.

Kes 2 — Automasi menjadi bumerang. SOC lain mentakrifkan peraturan "autokunci akaun pada log masuk yang mencurigakan" secara meluas. Pada suatu hari, disebabkan ralat konfigurasi, peraturan mengunci 1,200 pengguna sah sekaligus dan kerja terhenti; Selain itu, laluan pemulihan tidak ditentukan. Pengajaran: automasi berimpak tinggi mesti mempunyai kriteria yang ketat, penggunaan beransur-ansur dan laluan rollback. Automasi harus boleh diterbalikkan dan dipantau melalui peraturan kendiri.

Kes 3 — Kegelinciran ditangkap oleh kawalan diri. Dalam audit kendiri selama tiga bulan, satu pasukan menyedari bahawa ketepatan pengesanan pancingan data AI semakin berkurangan: gelombang pancingan data baharu terlepas kerana ia tidak sesuai dengan corak lama (pandaian pola). Pasukan mengumpul sampel, mengemas kini peraturan pengesanan dan menyegarkan semula konteks yang diberikan kepada AI. Tanpa kawalan diri yang kerap, pengelakan senyap ini boleh berterusan selama berbulan-bulan. Pengajaran: hanya kerana prestasi adalah baik sekali, ia tidak sentiasa kekal baik; pengukuran dan maklum balas adalah penting.

Gesaan lemah / Gesaan kuat

Gesaan yang lemah:

Automasi sepenuhnya SOC kami dan biarkan AI mengendalikan segala-galanya.

Permintaan ini menuntut automasi tanpa diskriminasi risiko, mengabaikan pintu manusia dan tidak mempertimbangkan rollback dan kawalan. Jika dilaksanakan, keputusan berisiko tinggi akan menjadi automatik tanpa pengawasan dan bertukar menjadi bencana pada kesilapan pertama.

Gesaan kuat:

Peranan anda: Perunding dalam reka bentuk proses SOC. [Senaraikan] kitaran hayat peristiwa ini berperingkat kepada tiga berdasarkan tahap risiko: (A) automatik sepenuhnya (risiko rendah, boleh diterbalikkan, berulang), (B) AI mengesyorkan + manusia meluluskan, (C) keputusan sentiasa manusia (berisiko tinggi, tidak boleh dipulihkan). Cadangkan laluan putar balik mandatori dan metrik penjejakan untuk setiap (A) dan (B). Juga draf senarai semak audit diri suku tahunan: kadar positif/negatif palsu, MTTD/MTTR, pensampelan ketepatan output AI, tanda-tanda hanyut corak.

Permintaan yang kukuh memisahkan automasi mengikut tahap risiko, memerlukan pengembalian dan pemantauan, serta mewujudkan rangka kerja kawal selia kendiri.

Templat gesaan yang boleh disalin

TEMPLAT PEMISAH RISIKO AUTOMASI Pisahkan langkah aliran kerja keselamatan ini kepada tiga: (A) automatik sepenuhnya sesuai, (B) Mengesyorkan kelulusan manusia, (C) keputusan sentiasa manusia. Tulis justifikasi, kebolehbalikan dan kesan perniagaan untuk setiap langkah. Syorkan laluan rollback mandatori untuk langkah berimpak tinggi. Langkah: [senarai]

TEMPLAT REKABENTUK GULUNG SEMULA untuk tindakan automatik [cth. kuncian akaun] cadangkan reka bentuk yang selamat: kriteria pencetus (sempit), penggunaan beransur-ansur, langkah pemulangan pencetus palsu, amaran dan titik pengesahan manusia. Reka bentuk untuk mengelakkan automasi buta. Tindakan: [tulis]

TEMPLAT SENARAI SEMAK AUDIT KENDIRI Draf senarai semak audit kendiri suku tahunan untuk SOC dikuasakan AI: kadar positif/negatif palsu, berat sebelah MTTD/MTTR, pensampelan ketepatan output AI, pencetus palsu automasi, tanda hanyut corak, operasi gelung maklum balas, pematuhan privasi/anonimasi. Untuk setiap item, tulis bagaimana ia akan diukur.

FEEDBACK LOOP TEMPLATEDlukiskan apa yang dipelajari daripada peristiwa / penggera sebenar yang gagal: (1) corak yang akan menjadi peraturan pengesanan baharu, (2) positif palsu yang akan ditambah ke senarai pengecualian, (3) langkah buku main yang akan dikemas kini, (4) konteks baharu yang akan diberikan kepada AI. Ringkasan acara/penggera: [tampal]

Kesilapan biasa

Mengautomasikan langkah berisiko tinggi. Langkah yang tidak dapat dipulihkan seperti pengasingan pelayan, tampalan pengeluaran, pemberitahuan rasmi tidak dikeluarkan dari pintu manusia.
Tidak merancang jalan untuk mendapatkan semula. Adalah mungkin untuk sebarang tindakan automatik dicetuskan dengan salah; Automasi tanpa titik asal dan pengesahan adalah berbahaya.
Tetapkan dan lupakan. Prestasi AI berubah apabila persekitaran berubah; Tanpa pemantauan dan pengukuran diri yang kerap, pengelakan senyap terkumpul.
Hanya menjejaki positif palsu. Negatif palsu (ancaman sebenar yang terlepas) adalah lebih berbahaya tetapi lebih sukar untuk dilihat; Tonton secara peribadi.
Mengabaikan maklum balas. Jika peristiwa yang dikesan tidak bertukar menjadi peraturan baharu dan penggera yang gagal tidak bertukar menjadi pengecualian, operasi tidak belajar dan mengulangi kesilapan yang sama.

Petunjuk: Soalan emas dalam keputusan automasi: "Bolehkah tindakan ini dibuat asal jika dicetuskan secara salah dan apakah kesan perniagaan?" Jika jawapannya ialah "mudah dibuat asal, kesan rendah," automatik; Jika "tidak dapat dipulihkan atau berimpak tinggi" simpan di pintu manusia.

Awas: Automasi tidak menghapuskan tanggungjawab, ia hanya mempercepatkannya. Tindakan automatik yang tidak dirancang menyebabkan kerosakan lebih cepat dan lebih meluas daripada yang boleh dilakukan manusia. Setiap automasi dikelilingi oleh kriteria sempit, laluan rollback dan pemeriksaan biasa; Tanggungjawab utama sentiasa terletak pada manusia.

Secara ringkasnya

Unit ini menggabungkan semua bahagian modul ke dalam aliran kerja SOC hujung ke hujung: pengumpulan, pengesanan, triage, penyiasatan, tindak balas, pemulihan, pelaporan dan maklum balas. AI terlibat dalam setiap pautan, tetapi manusialah yang memegang rantai dan membuat keputusan di setiap pintu kritikal. Automasi (SOAR + AI) meningkatkan kuasa; Peraturannya jelas: langkah berisiko rendah, boleh diterbalikkan, berulang menjadi automatik, langkah berisiko tinggi, tidak boleh diterbalikkan melalui pintu manusia, dan setiap automasi mempunyai cara untuk membuat asal. Akhir sekali, program keselamatan yang dikuasakan AI disiarkan secara langsung: positif/negatif palsu, MTTD/MTTR, ketepatan output dan hanyutan corak diukur dengan kerap; Apa yang ditemui bertukar menjadi peraturan dan buku permainan dalam gelung maklum balas. Automasi mempercepatkan tanggungjawab, bukan menghilangkannya; Kawalan diri memastikan keselamatan hidup.

Tugasan permohonan

Tulis kitaran hayat insiden organisasi anda sendiri (atau contoh SOC). Kelaskan setiap langkah sebagai A/B/C dengan templat "Pengasingan Risiko Automasi" dan dapatkan reka bentuk automasi yang selamat dengan templat "Reka Bentuk Balik" untuk sekurang-kurangnya satu langkah "impak tinggi". Kemudian buat senarai semak suku tahunan dengan templat "Senarai Semak Audit Kendiri" dan tentukan cara anda mengukur setiap metrik dalam persekitaran anda.

senarai semak

[ ] Saya membahagikan setiap langkah kitaran hayat kejadian kepada kelas risiko A/B/C.
[ ] Saya menyimpan langkah berisiko tinggi dan tidak dapat dipulihkan di pintu manusia.
[ ] Saya mereka bentuk kriteria sempit dan buat asal laluan untuk setiap tindakan automatik.
[ ] Saya telah merancang untuk memantau kadar positif palsu dan terutamanya negatif palsu.
[ ] Saya merancang untuk mengukur ketepatan keluaran MTTD/MTTR dan AI dengan kerap.
[ ] Saya menubuhkan senarai semak pemantauan diri suku tahunan untuk corak hanyut.
[ ] Saya menyambungkan peristiwa yang ditemui dan melemparkan penggera ke gelung maklum balas.

Peperiksaan Modul

1. Triaj SIEM AI membenderakan penggera sebagai 'keutamaan rendah, kemungkinan positif palsu' dan menolaknya ke bahagian bawah senarai. Apakah yang perlu dilakukan oleh penganalisis mengenai penggera ini?

A) Masih memeriksa penggera secara bebas dan mengesahkannya dengan bukti mentah; Penganalisis membuat keputusan penutupan dan merekodkannya ✔
B) Kepintaran buatan secara automatik mematikan penggera tanpa memeriksanya kerana ia mengatakan ia adalah keutamaan rendah.
C) Pindahkan penggera ke syif seterusnya seperti sedia ada.
D) Lihat sahaja ringkasan yang diberikan oleh kecerdasan buatan dan lulus laporan

Penjelasan: Pengutamaan AI ialah cadangan, bukan diagnosis; Bendera 'keutamaan rendah' mungkin meliputi serangan sebenar (negatif palsu). Penganalisis masih mesti menyemak amaran secara bebas, mengesahkannya dengan bukti mentah dan membuat keputusan untuk menutupnya sendiri. Keluaran AI negatif bukan jaminan 'tiada ancaman'.

2. Apakah kombinasi risiko yang AI melabelkan serangan sebenar sebagai 'biasa' dan penganalisis mempercayai ini dan melonggarkan analisisnya sendiri?

A) Positif palsu dan keletihan penggera sahaja
B) Negatif palsu dan bias automasi (terlalu bergantung pada AI) ✔
C) Kekurangan sumber log sahaja
D) Ralat peraturan SIEM sahaja

Penjelasan: Ia adalah negatif palsu jika model terlepas ancaman sebenar; Bias automasi ialah apabila penganalisis terlalu mempercayai kecerdasan buatan dan meninggalkan semakan bebas. Apabila kedua-duanya bergabung, raison d'être kawalan manusia hilang dan serangan boleh dipintas sepenuhnya. Itulah sebabnya kawasan yang dipanggil kecerdasan buatan sebagai 'bersih' juga diperiksa.

3. AI mengatakan 'CVE-2024-88888, CVSS 9.8, tampal serta-merta' semasa triage. Apakah yang perlu dilakukan oleh penganalisis terlebih dahulu?

A) Menganggap CVE boleh dipercayai dan memulakan pelan penampalan dengan segera
B) Hanya kerana CVSS ialah 9.8, ia mendahuluinya tanpa melihat sebarang kelemahan lain
C) Mengesahkan nombor CVE dan markah dalam rekod NVD/vendor; ✔ Jika tiada rekod, ia tidak akan disenaraikan kerana mengetahui ia mungkin palsu.
D) Tanpa mengesahkan CVE, pentadbir menulisnya dalam laporan sebagai 'ancaman kritikal'

Penerangan: Model bahasa boleh memuatkan nombor dan skor CVE yang tidak wujud dengan lancar (halusinasi). Penganalisis mesti mengesahkan CVE dalam log NVD/vendor dan mengesahkan ketulenan dan markahnya sebelum membuat komitmen kepada jadual penampalan. CVE yang tidak disahkan mula-mula bersambung ke sumber; Jika tidak, pasukan akan membuang masa mengejar patch yang tidak wujud.

4. Untuk mempercepatkan penyiasatan insiden, pakar menampal log tembok api mentah bersama-sama dengan IP dalaman sebenar, nama pengguna dan nama pelayan VPN ke dalam alat AI yang tersedia untuk umum. Apakah masalah utama di sini?

A) AI tidak boleh membaca format log, jadi analisis tidak berguna
B) Jika log terlalu panjang, ia memperlahankan model.
C) Log firewall tidak sesuai untuk analisis
D) IP sebenar, nama pengguna dan pelayan dikongsi tanpa nama tanpa nama; Ini adalah kedua-dua pelanggaran KVKK dan kebocoran peta rangkaian organisasi ✔

Penerangan: Data keselamatan ialah data peribadi (pengguna, IP) dan risikan korporat yang mendedahkan permukaan serangan organisasi (topologi rangkaian, nama pelayan). Memberi ini kepada alat luaran tanpa menamakan ia adalah satu pelanggaran KVKK dan mendedahkan peta rangkaian yang berguna kepada penyerang. Pertama, nilai sebenar disembunyikan dengan pemegang tempat yang konsisten.

5. Apakah yang menjadikan pemburuan ancaman dianggap direka bentuk dengan baik?

A) Ia bermula dengan hipotesis yang konkrit dan boleh diuji dan kesan yang ditemui disahkan oleh bukti mentah ✔
B) Ia bermula dengan memberitahu kecerdasan buatan 'cari jika terdapat penyerang dalam rangkaian saya'
C) Secara automatik mengisytiharkan setiap kejadian tidak normal/jarang ditemui sebagai serangan
D) Ia hanya berfungsi apabila penggera tiba, ia tidak proaktif

Penjelasan: Pemburuan ancaman yang baik bermula bukan dengan penggera, tetapi dengan hipotesis yang konkrit dan boleh diuji yang mungkin atau mungkin tidak menjadi benar (mis. 'Adakah akaun X menyambung kepada lebih daripada 50 IP dalaman semasa bukan waktu perniagaan'). Soalan yang samar-samar seperti 'Adakah terdapat sesuatu yang buruk pada rangkaian saya' tidak boleh diuji dan membiarkan AI meneka. Kesan yang ditemui tidak dianggap sebagai ancaman sehingga ia disahkan dengan bukti mentah.

6. Kerentanan mempunyai skor CVSS 9.1 pada pelayan ujian terpencil pada rangkaian dalaman; Dalam senarai yang sama, CVSS 7.5 pada pelayan terbuka kepada internet, tetapi terdapat satu lagi kelemahan dalam senarai KEV (yang sebenarnya dieksploitasi). Apakah keutamaan yang betul?

A) Yang mempunyai CVSS tertinggi (9.1) sentiasa ditampal terlebih dahulu
B) Kerentanan 7.5 di Internet dan senarai KEV dibawa ke hadapan; CVSS bukan satu-satunya kriteria, pendedahan dan penyalahgunaan sebenar adalah penentu ✔
C) Kedua-duanya ditampal pada masa yang sama dan dengan keutamaan yang sama, pembezaan adalah tidak perlu
D) Tiada satu pun daripada mereka ditampal kerana terdapat kelemahan dalam pelayan ujian

Penjelasan: CVSS tidak menetapkan keutamaan sahaja; risiko sebenar ditentukan oleh EPSS (kebarangkalian eksploitasi), KEV (eksploitasi sebenar) dan konteks organisasi (pendedahan, kritikal, kawalan pampasan). Keterdedahan Internet dan dieksploitasi sebenarnya (KEV) menghalang kerentanan CVSS tinggi yang terpencil dan berkemungkinan rendah.

7. Dalam respons insiden, kecerdasan buatan mengatakan 'Trafik yang berasal dari IC_HOST_7 mencurigakan, asingkan pelayan ini'. IC_HOST_7 ialah pelayan pengesahan utama institusi. Apa yang perlu dilakukan oleh penganalisis?

A) Kecerdasan buatan segera mengasingkan pelayan kerana ia berkata demikian
B) Serahkan keputusan pengasingan sepenuhnya kepada kecerdasan buatan
C) Pertama menilai kesan perniagaan dan punca trafik; Ia tidak mengasingkan infrastruktur kritikal tanpa mengukur impaknya dan membuat keputusan sebagai penganalisis ✔
D) Mengasingkan pelayan dan kemudian memadam semua log

Penerangan: Pengasingan ialah keputusan kritikal yang sukar untuk diterbalikkan dan boleh menyebabkan gangguan perniagaan; tidak boleh dipindahkan ke kecerdasan buatan. Mengasingkan pelayan pengesahan boleh menghentikan semua pekerja daripada log masuk. Penganalisis mesti terlebih dahulu menilai kesan perniagaan dan punca trafik (mungkin transaksi yang sah), membuat keputusan sendiri; Cadangan kecerdasan buatan tidak seharusnya dilaksanakan sebagai perintah.

8. Dalam insiden perisian tebusan, pasukan itu ingin membina semula mesin yang terjejas untuk membersihkannya dengan cepat; tetapi terdapat bukti forensik (buangan memori, alat penyerang) pada mesin yang masih belum dikumpul. Apakah pendekatan yang betul?

A) Mesin segera dipasang semula; bukti tidak relevan
B) Kecerdasan buatan diminta untuk 'pembersihan terpantas' dan arahan itu digunakan secara membuta tuli.
C) Mesin dimatikan dan dibuang kerana bukti sudah ada dalam log.
D) Pertama, imej forensik dan pembuangan memori diambil dan bukti disimpan, kemudian pembersihan/pemulihan dilakukan ✔

Penjelasan: Kepantasan pemulihan tidak dapat mengatasi pemeliharaan bukti. Memasang semula mesin tanpa mengumpul bukti memusnahkan rantaian jagaan dan melumpuhkan proses kehakiman. Pertama, imej forensik dan pembuangan memori diambil, kemudian pembersihan/pemulihan dilakukan. Langkah forensik tidak diwakilkan kepada AI.

9. Apakah salah satu lapisan pengesahan teknikal yang paling boleh dipercayai semasa menganalisis e-mel pancingan data yang disyaki dan bagaimanakah ia harus disahkan?

A) SPF/DKIM/DMARC menghasilkan pengepala e-mel; Disahkan dari tajuk mentah, bukan dari ringkasan AI ✔
B) Warna dan fon e-mel; ditentukan oleh reka bentuk visual
C) Klik pada pautan yang mencurigakan pada sistem langsung dan lihat halaman yang dibuka.
D) Kepintaran buatan mengatakan 'phishing' sahaja adalah bukti yang mencukupi

Penjelasan: Keputusan SPF/DKIM/DMARC dalam pengepala e-mel ialah petunjuk kukuh sama ada e-mel itu sebenarnya berasal daripada domain yang dituntutnya; Jika ketiga-tiga gagal dan pengirim menipu domain, syak wasangka menjadi lebih kuat. Walau bagaimanapun, ini harus disahkan daripada tajuk mentah dan bukan daripada ringkasan AI. Selain itu, pautan yang mencurigakan tidak pernah diklik pada sistem langsung.

10. Dalam semakan kod, AI mencadangkan pembetulan untuk kelemahan XSS dan berkata 'ia menutup kelemahan'. Apakah yang perlu dilakukan oleh penganalisis/pembangun?

A) Menganggap pembaikan boleh dipercayai dan meletakkannya terus ke dalam pengeluaran
B) Semak pembetulan, mengesahkan bahawa ia benar-benar menutup kelemahan dan tidak memperkenalkan kelemahan/pepijat baharu dan menulis ujian; Barulah ia masuk ke dalam simpanan ✔
C) Oleh kerana dia tidak pasti, dia menulis semula keseluruhan fail ke kecerdasan buatan dan menggunakannya.
D) Menggunakan pembetulan tetapi lulus tanpa menulis sebarang ujian

Penjelasan: Pembetulan yang dicadangkan oleh AI tidak selamat secara automatik; Ia mungkin tidak menutup kelemahan sepenuhnya, ia mungkin membersihkan lapisan yang salah, atau ia mungkin memperkenalkan kerentanan/ralat fungsian baharu. Setiap tampung disemak, dinilai sama ada ia benar-benar menutup kelemahan dan sama ada ia memperkenalkan masalah baharu, dan kes ujian positif dan negatif ditulis; Selepas itu barulah ia masuk ke dalam gudang.

11. Ketika menganalisis serangan, kecerdasan buatan berkata 'ini pasti kerja kumpulan APT-Dark Eagle'. Apakah pendekatan yang betul dari segi perisikan ancaman?

A) Terima rujukan seadanya dan tulis dalam laporan sebagai 'pelaku pasti'
B) Dia membina keseluruhan pertahanannya berdasarkan kumpulan itu tanpa pernah mempersoalkan nama kumpulan.
C) Menggunakan bahasa 'konsisten dengan teknik' dan bukannya atribusi yang tepat, mengesahkan kumpulan dalam sumber yang diketahui dan mengambil kira kemungkinan fabrikasi ✔
D) Petikan sentiasa tidak perlu, ia tidak diambil kira sama sekali

Penjelasan: Atribusi kumpulan ialah bidang kecerdasan yang paling sukar dan paling tidak tepat; AI juga boleh mencipta nama band yang tidak wujud. Daripada rujukan tepat, bahasa 'serasi dengan teknik ini' digunakan dan nama kumpulan disahkan dalam sumber risikan yang diketahui. Selain itu, pertahanan tidak berdasarkan IOC jangka pendek tetapi pada pengesanan TTP kekal.

12. Dalam draf laporan insiden, AI menulis ayat 'penyerang kemungkinan besar berada di dalam selama tiga minggu dan mengeksfiltrasi data pelanggan'; sedangkan tiada bukti log konklusif untuk menyokong dakwaan ini. Apa yang perlu dilakukan oleh penganalisis?

A) Biarkan ayat itu seadanya kerana ia dramatik dan mengagumkan
B) Meninggalkan ayat tetapi menambah 'kecerdasan buatan' di akhir
C) Mencetak semula keseluruhan laporan kepada kecerdasan buatan dan menandatanganinya tanpa mengesahkannya.
D) Membetulkan tuntutan berdasarkan bukti; Membuat perbezaan antara 'mungkin/terbukti/dalam siasatan' dan mengekstrak pernyataan muktamad tanpa bukti ✔

Ulasan: Dalam laporan keselamatan rasmi, setiap tuntutan harus dibuktikan dan 'kemungkinan' tidak boleh dikelirukan dengan 'terbukti'. Tuntutan tanpa bukti mempunyai akibat undang-undang, kewangan dan reputasi. Penganalisis harus membetulkan ayat mengikut bukti (contohnya, tulis tarikh capaian pertama dikesan dan katakan 'tiada bukti konklusif ditemui, siasatan sedang dijalankan' untuk kebocoran data).

13. Seorang pengurus ingin memprofilkan semua aktiviti pekerja dari log keselamatan dengan kecerdasan buatan untuk memahami sama ada dia 'setia' atau tidak. Apakah yang perlu dilakukan oleh seorang profesional keselamatan?

A) Menolak permintaan dan merujuknya kepada saluran yang sesuai (HR/undang-undang/penyiasatan ditentukan); data keselamatan bukan cara pengawasan peribadi ✔
B) Mencipta dan menyampaikan profil kerana pengurus memintanya
C) Ia hanya mengekstrak beberapa log dan memberikan profil separa
D) Mempunyai profil yang dicipta oleh kecerdasan buatan kerana tanggungjawab beralih kepada kecerdasan buatan

Penerangan: Data keselamatan dikumpul untuk tujuan keselamatan; Mengesan/memprofilkan seseorang adalah salah guna, bertukar menjadi pengawasan peribadi dan melanggar KVKK. Pakar harus menolak permintaan ini dan merujuknya kepada saluran yang sesuai (HR, undang-undang, rangka kerja penyiasatan yang jelas dan sah). Muhibah atau keinginan pengurus tidak membenarkan had ini.

14. SOC memutuskan langkah aliran kerja keselamatan yang mana untuk diautomasikan. Apakah prinsip terbaik untuk automasi?

A) Keputusan berisiko tertinggi hendaklah diautomasikan terlebih dahulu supaya tiada penglibatan manusia
B) Langkah berisiko rendah/boleh balik adalah automatik; langkah berisiko tinggi/tidak dapat dipulihkan kekal di pintu manusia dan setiap automasi mempunyai cara untuk membatalkan ✔
C) Semua SOC hendaklah diautomatikkan sepenuhnya dan pengauditan sendiri tidak diperlukan
D) Tindakan automatik tidak perlu dibuat asal kerana AI tidak melakukan kesilapan

Penjelasan: Langkah berisiko rendah, berulang dan boleh diterbalikkan (pengumpulan log, pengayaan penggera) boleh diautomasikan; Langkah berisiko tinggi, tidak boleh diterbalikkan dan memerlukan pertimbangan (pengasingan pelayan, tampalan pengeluaran, pemberitahuan rasmi) melalui pintu manusia. Selain itu, setiap tindakan automatik mesti mempunyai kriteria yang sempit dan cara untuk membuat asal. Automasi tidak menghilangkan tanggungjawab, ia hanya mempercepatkannya.