Qligħ:
- Ifhem kif il-kaċċa għat-theddid tibda b'ipoteżi li tista' tiġi ttestjata, mhux b'allarm, u kif l-intelliġenza artifiċjali tgħin fil-ġenerazzjoni tal-ipoteżi u l-abbozzar tal-mistoqsijiet.
- Kapaċità li tapplika li s-sinjal kuntrarju/rari enfasizzat minn intelliġenza artifiċjali ma jfissirx awtomatikament intenzjoni malizzjuża, u li l-ipoteżi trid tiġi kkonfermata b'evidenza mhux ipproċessata.
- Kapaċità li tivverifika n-numri tekniċi MITRE ATT&CK u l-IDs tal-avvenimenti mogħtija minn intelliġenza artifiċjali mas-sors uffiċjali u telimina dettalji tekniċi ffabbrikati
Il-monitoraġġ tas-sigurtà klassiku jaħdem bil-loġika ta '"stenna l-allarm, ħares meta jiġi". Iżda l-attakkanti l-aktar perikolużi jippruvaw ma jqajmux allarmi: jużaw għodod leġittimi (dan jissejjaħ "sfruttament" - jiġifieri, jabbuża minn għodod li diġà jeżistu fis-sistema, bħal PowerShell, WMI), jimxu bil-mod, u jinterferixxu mat-traffiku normali. Huwa għalhekk li twieldet il-kaċċa għat-theddid: mingħajr ma tistenna allarm, "jekk kien hemm attakkant bħalissa mhux misjub fl-organizzazzjoni tiegħi, fejn ikun?" Tfittix proattiv għal traċċi bil-mistoqsija: Il-kaċċa għat-theddid tibda b'ipoteżi, mhux b'allarm.
L-intelliġenza artifiċjali hija utli ħafna f'żewġ postijiet fil-kaċċa għat-theddid. L-ewwel hija l-ġenerazzjoni ta 'ipoteżi: agħti teknika ta' attakk u staqsi "Jekk din it-teknika kienet użata fl-istituzzjoni tiegħi, fuq liema zkuk u f'liema mudell tħalli traċċa?" tista' titlob. It-tieni hija l-estrazzjoni tas-sinjal: tista 'tenfasizza l-rari, outlier, "differenti min-normal" fil-big data. Iżda l-AI ma tafx x'inhu normali għall-organizzazzjoni tiegħek u tista 'taqa' fin-nassa li taħseb li ipoteżi hija "ppruvata." Fil-kaċċa għat-theddid, l-AI hija sieħba tal-moħħ u scanner; Il-kaċċatur (analista) jiddeċiedi jekk il-priża ssibx theddida reali u jekk dan hux se jiġi rrappurtat.
Passi tal-kaċċa għat-theddid
- Ipoteżi. Sentenza konkreta u li tista' tiġi ttestjata: "Attakkant jista' jkun qed jiskennja n-netwerk intern matul il-ħinijiet mhux tax-xogħol b'kont kompromess." Tista' tuża l-AI għall-brainstorming hawn.
- Identifika s-sors tad-dejta. Liema log jipprova/jiċħad l-ipoteżi? (Pereżempju, firewall u DNS logs għall-iskannjar tan-netwerk, reġistri tal-identità għall-eskalazzjoni tal-privileġġ.)
- Iddisinja l-mistoqsija. Il-mistoqsija li se tfittex il-mudell immirat (SIEM query language, KQL, SQL-like). L-AI tgħin fl-abbozzar tal-mistoqsijiet; imma tirrevedi l-mistoqsija u tmexxiha.
- Oħroġ ir-riżultat. Iffiltra s-sinjal reali minn mijiet ta 'output ta' linji. Hawnhekk l-AI tagħmel raggruppament u sommarju.
- Ikkonferma jew tirrifjuta. Ikkonferma b'evidenza mhux ipproċessata u kuntest jekk it-traċċa misjuba hijiex tassew malizzjuża jew innoċenti.
- Iddokumenta r-riżultat u dawwarha f'determinazzjoni. Ikkonverti l-mudell attwali misjub f'regola ta 'skoperta permanenti; Jekk l-ipoteżi falliet, irreġistra dik ukoll (riżultat negattiv huwa wkoll informazzjoni).
Termini: TTP (Tattiċi, Tekniki, Proċeduri — mudell ta' mġiba tal-attakkant). MITRE ATT&CK hija librerija enumerata u dokumentata ta' tekniki tal-attakkanti (eż. T1078 "Kontijiet Validi"); Jipprovdi lingwa komuni fil-kaċċa għat-theddid. IOC (Indikatur tal-Ksur — IP ħażin, hash, domain). L-istorbju abjad (whitelist/magħruf-tajjeb) huwa mġiba normali magħrufa li tissagrifika l-priża.
Tabella ta' approċċi għall-kaċċa għat-theddid
Approċċ
punt tat-tluq
Kontribuzzjoni tal-AI
Attenzjoni
Kaċċa bbażata fuq ipoteżi
"Jekk kien hemm attakkant bħal dan..."
Ġenerazzjoni ta' ipoteżi, deskrizzjoni tal-mudell
L-ipoteżi mhix evidenza
Kaċċa bbażata fuq l-IOC
Indikatur ħażin magħruf
Tqabbil ta' IOCs ma' zkuk
IOC qodma/skorretta tqarraq
Kaċċa bbażata fuq TTP/ATT&CK
Teknika (numru T)
Konverżjoni tat-teknika għal mudell ta 'log
Teknika ≠ mudell wieħed
Kaċċa bbażata fuq anomaliji
Devjazzjoni statistika
Enfasizza l-outlier
Contrarian ≠ mala fide
Analiżi tal-frekwenza tal-munzell
"X'inhu l-aktar rari?"
Sib l-avveniment rari
Rari ≠ perikoluż
tliet każijiet żgħar
Każ 1 — Is-sejba tar-rari. Kaċċatur jista 'jistaqsi, "Liema proċess fuq in-netwerk intern jaħdem fuq l-inqas kompjuters iżda jistabbilixxi l-aktar konnessjonijiet tan-netwerk?" jistabbilixxi l-ipoteżi tiegħu. L-AI tenfasizza mudell mid-dejta anonimizzata tal-konnessjoni tal-proċess: proċess bl-isem svchost32.exe, li jidher fuq 2 magni biss, qed jgħaqqad ma' 340 indirizz estern differenti. Il-kaċċatur jeżamina dan; Isib malware li jimita l-svchost.exe leġittimu. AI iffiltrat ir-rari; Il-kaċċatur għamel id-dijanjosi u l-intervent.
Każ 2 — Il-kaċċa falluta (iżda siewja). Kaċċatur wieħed staqsa "jista 'jkun hemm tniżżil ta' data tal-massa matul il-ħinijiet mhux tan-negozju?" jistabbilixxi l-ipoteżi tiegħu; AI jikteb l-abbozz tal-mistoqsija rilevanti. Riżultat: 3 utenti jitniżżel bil-lejl, iżda t-tlieta li huma ħaddiema tal-uffiċċju barranin u jaħdmu matul il-ħinijiet tan-negozju minħabba differenzi fiż-żona tal-ħin. L-ipoteżi hija miċħuda. Il-kaċċatur jiddokumenta dan bħala "riżultat negattiv" u jinnota dawn it-3 utenti bħala eċċezzjonijiet għal kaċċa futura. Anke l-kaċċa bla suċċess ippermettilna nsiru nafu aħjar l-istituzzjoni.
Każ 3 — Nassa teknika maħduma. Kaċċatur jistaqsi lill-AI "Kif infittex it-teknika T1055 fl-organizzazzjoni tiegħi?" jgħid. L-AI tikteb mistoqsija konvinċenti u affermazzjoni li "T1055 jiġġenera l-ID tal-avveniment li ġej"; iżda l-ID tal-avveniment li ta hija żbaljata u l-mudell għamel sub-teknika ATT&CK. Avcı tiftaħ ir-rekord MITRE ATT&CK, tikkonferma d-deskrizzjoni teknika u s-sorsi reali tar-reġistru, u tikkoreġi l-ID tal-avveniment mhux korrett. Lezzjoni: Ivverifika kull dettall tekniku li tagħti l-AI (ID tal-avveniment, numru T, qasam tal-ġurnal) bis-sors uffiċjali.
Pront dgħajjef / Pront qawwi
Pront dgħajjef:
Skopri jekk hemmx attakkant fuq in-netwerk tiegħi.
Din it-talba hija ħielsa minn ipoteżi, mingħajr dejta, illimitata u mhux verifikabbli. AI tipproduċi lista ġenerali jew magħmula; huwa ta 'ebda użu.
Pront qawwi:
Ir-rwol tiegħek: assistent li jagħti ideat u deskrizzjonijiet lill-kaċċatur tat-theddid. Tiddeċiedix, tgħidx "hemm theddida". L-ipoteżi tiegħi: "Kont kompromess jista' jkun qed jiskenja portijiet interni matul il-ħinijiet mhux tan-negozju." Iġġenera dan li ġej: (1) elenka s-sorsi tal-ġurnal li se jipprovaw u XEJN din l-ipoteżi, (2) iddeskrivi l-mudell konkret li jrid jiġi mfittex (liema oqsma, liema limiti), (3) ikteb abbozz ta’ mistoqsija eżempju u tikkummenta kull linja, (4) ikteb liema spjegazzjonijiet innoċenti se jiġu eliminati fir-riżultat li jirriżulta. Issuġġerixxi t-teknika MITRE ATT&CK rilevanti, imma mmarka n-numru T u l-ID tal-avveniment bħala "[għandha tiġi vverifikata minn MITRE]", tagħmilhiex.
It-talba b'saħħitha tibda b'ipoteżi konkreta, tistabbilixxi l-bilanċ ta' evidenza/konfutazzjoni, tispjega l-mistoqsija, u tħalli d-dettall tekniku għall-verifika.
Mudelli fil-pront kopjabbli
MUDELL TA’ ĠENERAZZJONI TA’ IPOTEŻI Għall-istituzzjoni tiegħi [entità: eż. Iġġenera ipoteżi ta' kaċċa ta' theddid ttestjati fil-kuntest ta' [Active Directory / cloud / endpoint]5. Għal kull ipoteżi: (1) liema imġieba tal-attakkant jimmira, (2) liema sors ta' log se jipprovdi evidenza/konfutazzjoni, (3) il-mudell mistenni. Agħmel sentenzi li jistgħu jiġu eżaminati, mhux ġenerali.
MODELL TA' TEKNIKA Se nfittex it-teknika ta' attakk li ġejja fl-istituzzjoni tiegħi [l-isem tat-teknika]. Iġġenera: (1) żoni ta 'log fejn it-teknika tipikament tħalli l-marka tagħha, (2) mudelli u limiti konkreti biex tfittex, (3) sitwazzjonijiet innoċenti (pożittivi foloz) li jistgħu jikkawżaw dan il-mudell. Offerta in-numru T rilevanti MITRE ATT&CK iżda bi bandiera "[Irid jiġi vverifikat minn MITRE]"; ma tagħtix ID/numru tal-avveniment iffabbrikat.
MUDELL TAL-ABBOZZ TA' MISTOQSIJA Ikteb abbozz ta' mistoqsija [SIEM/KQL/SQL] li jfittex il-mudell li ġej: [deskrizzjoni tal-mudell].Ikkummenta kull linja, spjega liema qasam qed tiffiltra u għaliex, u mmarka r-riskji tal-prestazzjoni. Jien ser nirrevedi l-mistoqsija u nmexxiha; ma jassumu li inti ser imexxuha. Ħalli l-ismijiet tal-qasam immarkati "[korretta għall-iskema]" skont l-iskema li naf.
RIŻULTAT ELIMINAZZJONI TEMPLATEIr-riżultat tal-kaċċa tiegħi wassal il-linji li ġejjin (anonimi): [pejst]. Grupp minnhom, u għal kull grupp ikteb (1) xenarju malizzjuż, (2) mill-inqas 2 spjegazzjonijiet innoċenti, u (3) evidenza addizzjonali li għandek tfittex biex tiddistingwi. Teħid ta' deċiżjonijiet; Tħallixni nisseparak. Immarka "[l-ebda bażi]" għal talba li m'għandha l-ebda evidenza.
Żbalji komuni
- Kaċċa mingħajr ipoteżi. Li tgħid "sib xi ħaġa" timbotta l-AI biex taħseb u tpatti; Il-kaċċa tibda b’sentenza konkreta u li tista’ tiġi ttestjata.
- Tiżbalja ipoteżi għal evidenza. Il-kaċċa tittestja possibbiltà; It-traċċa misjuba mhix "theddida" sakemm tiġi kkonfermata minn evidenza mhux ipproċessata.
- Awtomatikament tikkunsidra l-kuntrarju bħala ħażin. Ir-rari/outlier spiss ikun innoċenti (manutenzjoni, softwer ġdid, xogħol ta' darba); Għarbel mal-kuntest.
- Mhux jivverifika dettall tekniku. L-AI tista 'tqabbel l-ID tal-avveniment, in-numru T u l-qasam tal-ġurnal; Ikkonferma b'MITRE ATT&CK u d-dokumentazzjoni tal-prodott.
- Jarmi l-qabda moħlija. Ir-riżultat negattiv huwa wkoll l-għarfien: isir jaf l-organizzazzjoni aħjar, inaqqas il-pożittivi foloz futuri; dokument.
Tip: Ipoteżi tajba tal-kaċċa għat-theddid għandha tkun "testbbli": talba konkreta li tista' tirriżulta vera jew falza. "Hemm xi ħaġa ħażina fin-netwerk tiegħi?" ma jistax jiġi ttestjat; "Il-kont X ikkonnettja ma' aktar minn 50 IP intern matul il-ħinijiet mhux tan-negozju?" jistgħu jiġu ttestjati.
Attenzjoni: Il-kaċċa għat-theddid issir biss fuq sistemi li int awtorizzat li tagħmel. Li titlob lill-AI biex "jissonda" organizzazzjoni oħra, persuna, jew netwerk li għalih m'għandekx permess huwa tentattiv biex tikseb aċċess mhux awtorizzat u huwa barra minn dan il-modulu.
Fil-qosor
Il-kaċċa għat-theddid qed tfittex b'mod proattiv għal traċċi ta' attakkant moħbi mingħajr ma tistenna allarm, u tibda b'ipoteżi, mhux allarm. L-AI toffri żewġ kontribuzzjonijiet qawwija f'dan il-proċess: il-ġenerazzjoni ta' ipoteżijiet li jistgħu jiġu ttestjati u abbozzi ta' query, u l-iffiltrar ta' sinjali rari/outlier minn big data. Iżda l-AI ma tafx x'inhu normali għall-organizzazzjoni tiegħek, tista 'tagħmel dettalji tekniċi u taqa' fin-nassa li tiżbalja ipoteżi ma 'evidenza. Għalhekk il-kaċċa għandha sitt passi (ipoteżi, data, mistoqsija, estratt, verifika, dokument) u f'kull pass id-deċiżjoni hija f'idejn il-kaċċatur. Kuntrarju ≠ ħażin, ipoteżi ≠ evidenza, dettall tekniku mogħti minn AI ≠ korrett; kollha kkonfermati minn evidenza prima u MITRE ATT&CK.
Kompitu ta' applikazzjoni
Ikseb 5 ipoteżi ta 'kaċċa għat-theddid mill-AI bil-mudell "Ġenerazzjoni ta' Ipoteżi" għall-organizzazzjoni tiegħek stess (jew ambjent kampjun). Agħżel l-iktar waħda li tista' tiġi ttestjata, abbozza mistoqsija bil-mudelli "Teknika tal-Mudell" u "Abbozz tal-Mistoqsija", ivvalida kull ringiela fil-mistoqsija u kull numru T issuġġerit f'MITRE ATT&CK. Ikteb ir-riżultat (kienet l-ipoteżi kkonfermata, inċaħda, x'tgħallimt) f'nota qasira tal-kaċċa.
lista ta' kontroll
- [ ] Bdejt il-kaċċa tiegħi b'ipoteżi konkreta u li tista' tiġi ttestjata.
- [ ] Jiena identifikajt sorsi ta' log li se jipprovaw u jikkonfermaw l-ipoteżi.
- [ ] Irrevedja kull linja tal-abbozz tal-mistoqsija u adattajtha għall-iskema tiegħi stess.
- [ ] Ivverifikajt it-teknika MITRE ATT&CK proposta u l-IDs tal-avvenimenti bis-sors uffiċjali.
- [ ] Ikkonfermajt kull sinjal b'evidenza u kuntest mhux ipproċessat; Ma kontx awtomatikament qiest il-kuntrarju bħala ħażin.
- [ ] Iddokumentajt ukoll l-ipoteżi li falliet (ir-riżultat negattiv huwa informazzjoni).
- [ ] Ikkaċċjajt biss fuq sistemi li kont awtorizzat biex nikkaċċa.