Qligħ:
- Nifhmu li l-intelliġenza artifiċjali taċċellera r-rispons għall-inċidenti b'sommarju tal-evidenza, l-istabbiliment tal-kalendarju, l-għażla tal-kawża ewlenija u l-abbozzar tal-playbook, iżda d-deċiżjoni li tiġi iżolata/lock/close/notifikata tappartjeni lit-tim awtorizzat.
- Kapaċità li tevalwa l-għażliet ta’ trażżin f’termini ta’ impatt kummerċjali u riversibbiltà u ma tiżolax infrastruttura kritika mingħajr ma tkejjel l-impatt tagħha
- Kapaċità li tifhem li l-veloċità tal-irkupru ma tistax tegħleb il-preservazzjoni tal-evidenza (immaġni forensika, katina tal-evidenza) u li l-passi forensiċi ma jistgħux jiġu trasferiti għall-intelliġenza artifiċjali
Meta jinkiser inċident tas-sigurtà, iż-żmien huwa l-għadu. Hekk kif ir-ransomware jibda jinfirex, dan ifisser li aktar magni jiġu kkodifikati kull minuta; Ladarba kont jiġi kompromess, l-attakkant iħaffer aktar fil-fond kull minuta. Ir-rispons għall-inċidenti (IR fil-qosor) huwa l-proċess ta’ skoperta ta’ inċident tas-sigurtà, tillimitawh, tindif u ritorn għan-normal. L-IR teħtieġ li jittieħdu deċiżjonijiet taħt pressjoni, b'informazzjoni mhux kompluta, u bl-arloġġ jimmarka; Huwa proprju għalhekk li jrid ikun kemm mgħaġġel kif ukoll dixxiplinat.
AI ġġib veloċità imprezzabbli għall-IR: malajr tiġbor fil-qosor evidenza mxerrda (zkuk, twissijiet, dejta EDR), tistabbilixxi skeda ta 'żmien tal-avveniment, enumera l-kawża ewlenija possibbli, tipproduċi abbozz ta' playbook (gwida ta 'intervent pass pass definit minn qabel) u tiddeskrivi r-rapport ta' wara l-intervent. Iżda l-aktar deċiżjonijiet kritiċi fl-IR — l-iżolament ta’ sistema min-netwerk, l-illokkjar ta’ kont, l-għeluq ta’ server, it-tħassir jew il-preservazzjoni tal-evidenza — huma deċiżjonijiet li jistgħu jkunu riversibbli, jikkawżaw interruzzjoni tan-negozju, u jkollhom impatt fuq il-proċessi ġudizzjarji. Dawn ma jistgħux jiġu delegati lill-AI. AI hija magna ta 'analiżi u abbozzar fl-IR; Id-deċiżjoni dwar l-iżolament, l-illokkjar, l-għeluq u n-notifika tappartjeni lit-tim ta’ rispons kompetenti.
Stadji tar-rispons għall-inċident
Qafas komuni fl-industrija (ibbażat fuq NIST) huwa sitt fażijiet. F'kull stadju, l-għajnuna u l-limitu tal-AI huma differenti:
- Preparazzjoni: Playbooks, rwoli, pjan ta 'komunikazzjoni huma lesti minn qabel. L-AI tgħin biex tipproduċi playbooks u xenarji ta' drill — qabel l-avveniment, aktar milli fil-mument.
- Sejbien u analiżi: L-avveniment huwa vverifikat u l-ambitu tiegħu huwa determinat. L-AI tiġbor fil-qosor l-evidenza, tistabbilixxi skeda taż-żmien, u telenka l-ipoteżi tal-kawża ewlenija. Id-deċiżjoni hija f'idejn l-analista.
- Konteniment: It-tixrid jitwaqqaf (iżolament, illokkjar tal-kont). Din id-deċiżjoni kritika tappartjeni lill-bnedmin; L-AI telenka biss l-għażliet u l-effetti tagħhom.
- Eradikazzjoni: Kontijiet malizzjużi, backdoor, kompromessi huma kklerjati. AI tipproduċi lista ta 'kontroll; l-implimentazzjoni u l-verifika huma umani.
- Irkupru: Is-sistemi jiġu rkuprati u mmonitorjati b'mod ikkontrollat. L-AI tirrakkomanda pjan ta’ monitoraġġ.
- Lezzjonijiet mitgħallma: Kawża ewlenija, skeda ta' żmien, titjib. AI tipproduċi abbozzi ta' rapporti u suġġerimenti ta' titjib; Huwa fit-tim tal-approvazzjoni.
Termini: EDR (Endpoint Detection and Response — softwer li jaħdem fuq endpoints, jiġifieri kompjuters, u jista’ jiskopri u jirrispondi għal imġieba suspettuża). Il-kawża ewlenija hija l-punt tat-tluq attwali tal-avveniment ("Kif daħlu fl-ewwel post?"). Il-katina ta' kustodja hija rekord mhux interrott ta' min, kif u meta nġabret l-evidenza forensika; Huwa kritiku fil-proċess legali. MTTR (Mean Time To Respond) huwa l-kejl tal-prestazzjoni tat-tim IR.
Tabella ta' l-awtorità tad-deċiżjonijiet
Azzjoni IR
Rwol tal-AI
Min jiddeċiedi
Għaliex
Sommarju ta' l-evidenza, skeda ta' żmien
produttur, aċċeleratur
L-analista jikkonferma
Riskju ta' alluċinazzjonijiet
Ipoteżi tal-kawża tal-għeruq
Sorter, suġġeriment
analista
Kuntest u evidenza meħtieġa
Abbozz tal-playbook (qabel)
ġeneratur ta' skeċċ
Il-mexxej tal-IR jikkonferma
Applikabilità
Iżola s-sistema
Jelenka l-għażliet biss
analista awtorizzat
Interruzzjoni tan-negozju, ritorn
lockout tal-kont
Jagħti analiżi tal-impatt
analista awtorizzat
Lock ħażin iwaqqaf ix-xogħol
Tħassir/preservazzjoni tal-evidenza
Iwissi, suġġerimenti
Mexxej IR + liġi
Il-proċess ġudizzjarju huwa affettwat
Avviż legali/regolatorju
kittieb tal-abbozz
Liġi + ġestjoni
Responsabbiltà legali
tliet każijiet żgħar
Każ 1 — Sommarju rapidu taħt pressjoni. Twissija tar-ransomware tidħol fis-2:40 am. L-analista jagħti EDR u firewall logs (billi anonimizza) lill-AI. L-AI tibni skeda tal-ħin kull 90 sekonda: "01:55 sekwestru tal-phishing miftuħ, 02:10 PowerShell imniżżel, 02:30 beda moviment laterali, 3 magni affettwati." L-analista jikkonferma din il-katina bir-rekord EDR mhux maħdum, iżola t-3 magni affettwati fid-diskrezzjoni tiegħu, u jwaqqaf it-tixrid. AI naqqset 20 minuta ta 'qari ta' evidenza għal 90 sekonda; L-analista ħa d-deċiżjoni ta 'iżolament.
Każ 2 — Rakkomandazzjoni ta' iżolament żbaljata. F'każ wieħed, l-AI tgħid, "It-traffiku minn IC_HOST_7 huwa suspettuż, iżola." L-analista jiċċekkja l-kuntest: IC_HOST_7 huwa s-server ewlieni tal-awtentikazzjoni tal-organizzazzjoni; Jekk iżolati, l-impjegati kollha jieqfu jidħlu. Barra minn hekk, ir-raġuni għat-traffiku hija backup leġittimu. L-analista ma jiżolax, alternattivament jimmonitorja biss ir-rabta suspettuża. Lezzjoni: Ir-rakkomandazzjoni tal-iżolament tal-AI ma tistax tiġi implimentata mingħajr ma jkun jaf l-impatt tan-negozju; Għall-infrastruttura kritika, id-deċiżjoni hija bir-reqqa umana.
Każ 3 — Qerda aċċidentali ta' evidenza. Tim, b'għaġġla biex inaddaf, staqsa lill-AI "kif innaddaf din il-magna malajr?" jistaqsi; L-AI toffri li terġa 'tinstalla s-sistema. Iżda l-magna fiha evidenza forensika (dump tal-memorja, għodda tal-attakkant) li għadha ma nġabretx; installazzjoni mill-ġdid teqred il-katina tal-evidenza. L-analista anzjan l-ewwel jiżgura li l-immaġni (kopja forensika) tittieħed u mbagħad inaddafha. Lezzjoni: il-veloċità tal-irkupru ma tistax tirbaħ il-preservazzjoni tal-evidenza; passi ġudizzjarji mhumiex delegati lill-AI.
Pront dgħajjef / Pront qawwi
Pront dgħajjef:
Hemm attakk ransomware, x'għandi nagħmel? Liema magni għandi nitfi?
Dan il-pront jitlob lill-AI għal deċiżjoni operattiva diretta (liema magna tingħalaq), ma tagħti l-ebda kuntest, l-ebda impatt kummerċjali, u l-ebda evidenza. L-AI tagħti struzzjoni ġenerali jew riskjuża; Jekk jiġi applikat bl-addoċċ, ix-xogħol jieqaf jew l-evidenza tisparixxi.
Pront qawwi:
Ir-rwol tiegħek: assistent li jipprovdi ANALIŻI u GĦAŻLIET lit-tim tar-rispons għall-inċidenti. M'għandekx tieħu deċiżjoni; tordnax "itfi/iżola dik il-magna", elenka biss l-għażliet u l-impatt possibbli ta 'kull wieħed. Ipproċessa l-evidenza anonima li ġejja: [EDR/sommarju tal-ġurnal]. Il-kompitu tiegħek: (1) tibni skeda ta' żmien ta' avveniment probabbli, turi liema evidenza tibbaża fuq kull pass, immarka dik mingħajr bażi bħala "[għandha tiġi vverifikata]", (2) elenka 3 ipoteżi ta' kawża ewlenija, ikteb kif tittestja kull waħda, (3) elenka GĦAŻLIET ta' konteniment (iżolament, monitoraġġ, lockout ta' kull negozju / riskju); ħalli d-deċiżjoni f'idejni,(4) fakkarni x'passi huma meħtieġa biex nippreserva l-evidenza QABEL l-iżolament.
Domanda qawwija tillimita l-AI bħala fornitur ta' għażliet, torbotha mal-evidenza, tenfasizza l-impatt tan-negozju u l-preservazzjoni tal-evidenza, u tħalli d-deċiżjoni f'idejn il-bnedmin.
Mudelli fil-pront kopjabbli
MUDELL TA' KRONOLOGIA TA' EVENIMENTI Ibni kronoloġija ta' avveniment kronoloġiku minn din l-evidenza IR anonima. Kull linja:[ħin] [avveniment] [sors ta' evidenza]. Żieda ta 'pass mingħajr timestamp jew prova; immarka l-vojt bħala "[nieqsa - għandha tinġabar]". Deċiżjoni/rakkomandazzjoni, klassifikazzjoni bbażata fuq evidenza biss. Evidenza: [pejst]
ROOT CAUSE HYPOTHESIS TEMPLATEIġġenera 3-5 ipoteżi ta' kawża ewlenija li x'aktarx għal dan l-avveniment. Għal kull ipoteżi: (1) l-evidenza li fuqha hija bbażata, (2) evidenza addizzjonali li trid tinġabar biex tikkonfermaha, (3) kwalunkwe traċċa oħra mistennija jekk tkun vera. Tiddikjara ebda wieħed minnhom ċert; Uża lingwaġġ tal-probabbiltà. Sommarju tal-avveniment: [pejst]
GĦAŻLA TA' KUNTRAZIONE TEMPLATELelenka l-GĦAŻLIET ta' konteniment għas-sitwazzjoni li ġejja (iżola / timmonitorja / illokkja / segment). Għal KULL għażla: impatt tan-negozju, diffikultà tar-ritorn, impatt fuq l-evidenza, riskju forensiku. Tagħtix ordnijiet; Jien se nieħu d-deċiżjoni. Huwa speċjalment adattat jekk tkun involuta infrastruttura kritika (identità, DNS, backup). Status: [pejst]
MUDELL TA’ ABBOZZ TA’ PLAYBOOK (preparazzjoni ta’ qabel l-avveniment)Għax-xenarju li ġej [eż. kompromess tal-email tax-xogħol] ikteb intervent pass pass interventplaybook ABBOZZ: grillu, rwoli, konteniment, qerda, irkupru, kuntatt, passi ta 'notifika. Poġġi marka ta' kontroll "[approvazzjoni umana]" ħdejn kull deċiżjoni kritika. Dan l-abbozz ma jidħolx fis-seħħ mingħajr l-approvazzjoni tal-mexxej tal-IR.
Żbalji komuni
- Ħalli l-AI tieħu deċiżjonijiet operattivi. Il-mistoqsija "Liema magna għandi nitfi" tappartjeni lit-tim li jaf l-impatt tan-negozju, mhux lill-AI; L-AI toffri biss għażla u influwenza.
- Tindif l-evidenza mingħajr ma tiġborha. Il-qerda tal-evidenza forensika għall-fini tal-veloċità hija irriversibbli; Dump immaġini u memorja qabel iżolament / tindif.
- L-importazzjoni tal-kronoloġija fir-rapport mingħajr ma tiġi validata. AI tista 'tagħmel il-katina ta' avvenimenti; Ikkonferma kull pass b'evidenza prima.
- Iżolament ta 'infrastruttura kritika mingħajr ħsieb. L-iżolament tal-identità, DNS, server backup jista 'jwaqqaf l-organizzazzjoni kollha; kejjel l-effett l-ewwel.
- Tikteb il-Playbook għall-ewwel darba fil-ħin tal-inċident. Playbook isir waqt il-fażi ta’ preparazzjoni; Li tipprova tikteb mill-bidu fil-ħin tal-inċident jipproduċi paniku u żbalji.
Tip: Fl-IR, dejjem għid lill-AI "elenka l-għażliet u l-effetti tagħhom, ħalluni niddeċiedi." Din is-sentenza waħda tbiddel l-AI minn "awtopilota" perikoluż għal "konsulent" sikur.
Attenzjoni: L-iżolament ta' sistema, l-illokkjar ta' kont jew it-tħassir ta' evidenza jista' jkollhom konsegwenzi irriversibbli u jaffettwaw il-proċessi ġudizzjarji/legali. Dawn id-deċiżjonijiet jittieħdu bl-approvazzjoni tat-tim ta’ rispons awtorizzat u, meta meħtieġ, legali u maniġerjali; L-output AI huwa suġġeriment, mhux ordni.
Fil-qosor
Ir-rispons għall-inċidenti jeħtieġ teħid ta' deċiżjonijiet kemm malajr kif ukoll dixxiplinat taħt pressjoni u bl-arloġġ jimmarka. L-AI żżid ħafna din il-veloċità b'sommarju ta' evidenza, bini ta' skeda ta' żmien, għażla ta' kawża ewlenija, u abbozzar ta' playbook. Iżda l-aktar azzjonijiet kritiċi tal-IR—iżolament, lockout tal-kont, għeluq tas-sistema, tħassir/preservazzjoni tal-evidenza, avviż legali—huma deċiżjonijiet irriversibbli li jwasslu għal interruzzjoni tan-negozju u konsegwenzi legali u ma jistgħux jiġu delegati lill-AI. F'kull waħda mis-sitt fażijiet (preparazzjoni, skoperta, konteniment, qerda, salvataġġ, lezzjoni), l-AI tipproduċi analiżi u blueprint; Id-deċiżjoni tappartjeni lit-tim awtorizzat. Żewġ regoli tad-deheb: tnaddaf l-evidenza mingħajr ma tippreservaha, iżola l-infrastruttura kritika mingħajr ma tkejjel l-impatt tagħha.
Kompitu ta' applikazzjoni
Agħżel xenarju ta’ każ (eż. teħid ta’ kont wara phishing). Iddeskrivi analiżi mill-AI b'mudelli ta' "Kronoloġija tal-Event" u "Root Cause Hypothesis"; Ikteb l-evidenza li se tuża biex tivverifika kull pass tal-kalendarju. Imbagħad, bil-mudell "Għażla ta' Limitazzjoni", ladarba jkollok tliet għażliet li jillimitaw, evalwa l-impatt tan-negozju ta' kull wieħed lilek innifsek u nnota liema waħda tagħżel u għaliex (u x'tagħmel l-ewwel biex tippreserva l-evidenza).
lista ta' kontroll
- [ ] Illimitajt l-AI bħala għażla/server ta' analiżi; Jien ħadt id-deċiżjoni operattiva.
- [ ] I vverifikajt kull pass tal-kalendarju b'evidenza mhux ipproċessata, u neħħejt il-fabbrikazzjoni.
- [ ] Ippjanajt il-pass tal-ġbir tal-evidenza (immaġni, dump tal-memorja) qabel l-iżolament/it-tindif.
- [ ] L-ewwel kejlt l-impatt tan-negozju tal-iżolament għall-infrastruttura kritika.
- [ ] Ittrattajt l-ipoteżi tal-kawża ewlenija bħala possibbiltajiet li jridu jiġu ttestjati, mhux bħala definittivi.
- [ ] Ħejjejt il-Playbook qabel l-avveniment u ssottomettitu lill-mexxej tal-IR għall-approvazzjoni.
- [ ] Inkludejt approvazzjoni legali/amministrattiva f'każijiet fejn tkun meħtieġa notifika legali.