Qligħ:
- Kapaċità li tifhem li l-intelliġenza artifiċjali tiġbor fil-qosor rapporti twal ta’ theddid fi tliet livelli (strateġiċi, tattiċi, tekniċi) u timmappahom ma’ MITRE ATT&CK billi tiġbed IOC u TTP
- Kapaċità li tivverifika kull IOC b'sors kurrenti u t-tieni indipendenti, kull teknika f'ATT&CK u estratt IOC/teknika/grupp iffabbrikat
- Il-kapaċità li wieħed jifhem li l-attribuzzjoni tal-grupp hija l-iktar pretensjoni riskjuża, li l-lingwa "kompatibbli mat-tekniki" għandha tintuża minflok "grupp eżatt" u li d-difiża għandha tkun ibbażata fuq determinazzjoni TTP permanenti.
Tim tas-sigurtà waħdu ma jiġġieledx biss l-attakki li jara; jitgħallem billi jaqsam l-għarfien dwar l-attakki madwar id-dinja. Intelliġenza dwar it-theddid (TI fil-qosor) hija informazzjoni miġbura, ipproċessata u mibdula f'azzjoni dwar l-attakkanti, l-għodod li jużaw, il-miri u l-metodi tagħhom. "Liema malware qed jinfirex issa?", "Liema settur qed jimmira dan il-grupp tal-attakkanti u kif jaġixxi?", "Dan l-indirizz IP deher f'attakk qabel?" It-tweġibiet għal mistoqsijiet bħal dawn jiġu mill-intelliġenza dwar it-theddid.
Il-problema hija li l-intelliġenza dwar it-theddid hija abbundanti u mxerrda: rapporti, blogs, feeds, forums, eluf ta 'IOCs. L-AI hija b'saħħitha biex tagħmel sens ta' dan il-munzell: tiġbor fil-qosor rapporti twal ta' theddid, estratti IOC strutturati u TTP min-narrattiva ta' attakk, timmappahom mal-qafas MITRE ATT&CK, u tistaqsi "dan jikkonċerna lilna?" jipprepara l-ewwel abbozz tal-mistoqsija. Iżda l-AI tista' tiżbalja intelliġenza antika, mhux preċiża jew barra mill-kuntest bħala vera, tagħmel grupp ta' theddid jew IOC ineżistenti, u ma tkunx taf jekk l-intelliġenza hijiex tassew valida għall-organizzazzjoni tiegħek. AI tiġbor fil-qosor, strutturi u mapep intelliġenza; Huwa f'idejn l-analista li jimblokka IOC, japplika intelligence lill-aġenzija, u jiddikjara rapport "azzjonibbli."
Saffi ta' intelliġenza dwar it-theddid
L-intelliġenza tat-theddid hija kkunsidrata fi tliet livelli:
- Tekniku/operazzjonali (livell IOC): Indikaturi konkreti — IPs ħżiena, oqsma, hashes, URLs. Huwa għal żmien qasir (l-attakkant ibiddel l-IP). L-AI hija mgħaġġla biex testrathom mir-rapport u tistrutturahom.
- Tattiku (livell TTP): Kif iġib ruħu l-attakkant — liema tekniki, għodod, metodi juża. Huwa aktar permanenti (imġieba diffiċli biex tinbidel). MITRE ATT&CK hija l-lingwa komuni ta' dan il-livell.
- Strateġiku: Min qed jimmira, għaliex, liema settur, b'liema tendenza. Hija feeds deċiżjonijiet ta 'ġestjoni. L-AI tiġbor fil-qosor rapporti twal f'dan il-livell.
Termini: IOC (Indikatur ta' Kompromess — indikatur ta' ksur, traċċa teknika konkreta). TTP (Tattiċi, Tekniki, Proċeduri — mudell ta' mġiba). MITRE ATT&CK, librerija numerata u dokumentata ta' tekniki tal-attakkant (eż. T1566 "Phishing"). APT (Theddida Persistenti Avvanzata — grupp ta' attakkanti avvanzat, persistenti, spiss sponsorjat mill-istat). Għalf, fluss IOC aġġornat awtomatikament. Attribuzzjoni ħażina, attribwazzjoni ta' attakk lill-grupp ħażin; Huwa l-iżball l-aktar komuni ta 'intelliġenza.
Chart ta' evalwazzjoni tas-sors ta' l-intelliġenza
kriterju
mistoqsija li tistaqsi
Għaliex huwa importanti?
Currentness
Meta ġiet ippubblikata? Għadu validu?
IOCs isiru obsoleti malajr
Affidabbiltà tas-sors
Min ippubblikaha, x'inhi r-reputazzjoni tagħha?
Ħafna intelliġenza falza/fabbrikata
Rilevanza
Timmira lilna/l-industrija tagħna?
Mhux kull theddida hija theddida tiegħek
Verifikabbiltà
It-tieni sors jikkonferma dan?
Sors wieħed mhux biżżejjed
Azzjonibbiltà
X'nista 'nagħmel (imblokka, track, sejħa)
L-għarfien għandu jinbidel f'azzjoni
Preċiżjoni taċ-ċitazzjoni
Kemm hija solida l-attribuzzjoni tal-grupp?
L-attribuzzjoni ħażina tqarraq
tliet każijiet żgħar
Każ 1 — Minn rapport ta' 40 paġna għal azzjoni. Analista għandu l-AI tiġbor fil-qosor rapport ta 'theddid ta' 40 paġna dwar kampanja ġdida ta 'ransomware. AI tnaqqas ir-rapport għal paġna 1, estratti 32 IOC (IP, hash, domain) u 7 MITRE ATT&CK tekniki, u jinnota "dan il-grupp qed jimmira għall-industrija tiegħek." L-analista jivverifika kull wieħed mill-IOCs bit-tieni sors, iżid il-21 li għadhom validi mal-lista tal-għassa, jikkonferma n-numri ATT&CK tat-tekniki, u jiżviluppaha f'ipoteżi ta 'kaċċa ta' theddid. L-AI għamlet 40 paġna proċessabbli; il-verifika u l-azzjoni kienu tal-analista.
Każ 2 — Grupp APT magħmul. Analista staqsa lill-AI "liema grupp wettaq dan l-attakk?" jistaqsi. L-AI twieġeb b'fiduċja: "Din hija t-teknika magħrufa tal-grupp 'APT-Dark Eagle'." L-analista jfittex dan il-grupp f'sorsi magħrufa ta 'intelliġenza dwar it-theddid - m'hemm l-ebda grupp bħal dan, il-mudell għamel l-isem. Kieku ma kkonfermahx, ir-rapport kien joħroġ b'attribuzzjoni skorretta. Lezzjoni: l-attribuzzjoni tal-grupp hija l-eħfef u riskjuża talba li tagħmel; Huwa dejjem ivverifikat minn sors magħruf u spiss jissejjaħ "kompatibbli mat-tekniki li ġejjin" aktar milli "attribuzzjoni eżatta".
Każ 3 — Imblukkar falz b'IOC antik. Tim wieħed staqsa lill-AI "m'għandniex nibblukkaw" lista ta' IPs li rċieva minn rapport xhur ilu? jistaqsi; L-AI tgħid "iva, huma malizzjużi." Iżda l-analista jara li wieħed mill-IPs issa jappartjeni għal fornitur ta 'sħab leġittimu (CDN); L-imblukkar ta' dak l-IP jaqta' wkoll is-servizzi leġittimi li taċċessa l-organizzazzjoni. L-IOCs huma ta' ħajja qasira. L-analista jivverifika l-kurrentità u jelimina dawk skaduti. Lezzjoni: Ma tmurx fuq il-lista ta 'blokk sakemm l-IOC jivverifika l-kurrentità tiegħu.
Pront dgħajjef / Pront qawwi
Pront dgħajjef:
Min għamel dan l-attakk u liema IPs għandi nibblokka? [rapport]
Din it-talba titlob għal attribuzzjoni preċiża u deċiżjoni ta 'imblukkar dirett mill-AI, ma titlobx għal puntwalità u verifika, hija miftuħa għall-fabbrikazzjoni. L-AI tista' tagħti attribuzzjoni konvinċenti iżda mhux preċiża u lista tal-IOC skaduta.
Pront qawwi:
Ir-rwol tiegħek: assistent tal-analista li jħejji SOMMARJU u KONFIGURAZZJONI tal-intelliġenza tat-theddid. Teħid ta' deċiżjonijiet; Tgħidx "imblokka", tagħmilx referenzi speċifiċi għal grupp. Ipproċessa r-rapport li ġej:(1) estratt sommarju ta' paġna waħda (min, xiex, mira, metodu),(2) lista strutturata ta' IOCs (IP, dominju, hash, URL); marka "[il-kurrent u s-sors sekondarju għandhom jiġu vverifikati]" għal kull wieħed; żid IOC finta,(3) immappja TTPs għal MITRE ATT&CK iżda mmarka kull numru T "[ikkonferma f'ATT&CK]",(4) ma tgħidx "grupp eżatt" għall-attribuzzjoni; Uża l-lingwa "kompatibbli ma 'dawn it-tekniki" u ddikjara s-saħħa tal-evidenza, (5) ikteb mistoqsijiet għaliex din l-intelliġenza tista' tapplika għall-industrija/arkitettura tagħna. Rapport: [pejst]
Talba b'saħħitha titlob sommarju + struttura, tħalli kull IOC/TTP għall-verifika, tipprojbixxi attribuzzjoni preċiża, tistaqsi r-rilevanza.
Mudelli fil-pront kopjabbli
MOLDOLI TA’ SOMMARJU TAR-RAPPORT Iġbor fil-qosor ir-rapport tat-theddid li ġej fi 3 livelli: (1) strateġiku (min, għaliex, settur fil-mira), (2) tattiku (TTPs użati), (3) tekniku (tipi ta’ IOCs). Taqbiżx paġna 1. Tinkludix xi pretensjonijiet li ma tneħħejtx mir-rapport; fabbrikazzjoni.Rapport: [pejst]
IOC EXTRACTION TEMPLATEJiġbed IOCs strutturati mit-test li ġej: tip (IP/dominju/hash/URL/email), valur, kuntest. Ħu biss dak li huwa ddikjarat B'MOD ĊARA fit-test; twaħħil. Iċċekkja "[kurrent + sors sekondarju għandu jiġi vverifikat]" għal kull IOC. Ivverifika f'forma tabulari.Test: [paste]
ATT&CK MATCHING TEMPLATEMapp l-imgieba fin-narrattiva tal-attakk għat-tattiċi u t-tekniki MITRE ATT&CK. Għal kull mapping: kwotazzjoni tal-imġieba + isem tat-teknika suġġerit + "[T-numru għandu jiġi kkonfermat f'ATT&CK]". Tagħtix teknika/numru magħmul; jekk m'intix ċert, ikteb "[mhux ċara]". Narrar: [pejst]
MUDELL TA’ VALUTAZZJONI TAR-RILEVANZA Għinni nevalwa jekk l-intelliġenza dwar it-theddid li ġejja hijiex applikabbli għall-organizzazzjoni tagħna: iġġenera l-mistoqsijiet liema mill-assi tagħna jaqblu mat-teknoloġija/l-industrija fil-mira. Teħid ta' deċiżjonijiet; Agħtini lista ta' kontroll. Sommarju tal-intelliġenza: [pejst]
Żbalji komuni
- Nagħmlu attribuzzjoni preċiża tal-grupp. L-attribuzzjoni hija l-aktar qasam diffiċli u l-aktar mifhum ħażin; Minflok "eżatt dak il-grupp", għid "kompatibbli ma 'dawn it-tekniki" u kkonferma mas-sors.
- Imblukkar tal-IOC mingħajr verifika tal-munita. IOCs huma ta' ħajja qasira; IP antik issa jista' jappartjeni għal servizz leġittimu, l-ewwel iċċekkja l-freskezza.
- Fidu sors wieħed. Ikkonferma l-intelliġenza bit-tieni sors indipendenti; Hemm ħafna intelliġenza falza/fabbrikata.
- Mhux qed tiddubita r-rilevanza. Mhux kull theddida hija theddida tiegħek; Ħares lejn l-industrija, it-teknoloġija u l-arkitettura jikkoinċidu.
- Li tagħmel l-IOC/teknika/grupp taħseb li huwa veru. L-AI tista' tadattahom b'mod fluwenti; jivverifika kull wieħed f'sors magħruf u MITRE ATT&CK.
Tip: L-aktar saff persistenti u siewi ta 'intelliġenza dwar it-theddid huwa t-TTP, mhux l-IOC. L-attakkant jibdel l-IP tiegħu f'ġurnata waħda, iżda huwa diffiċli li jibdel il-mudell tal-imġieba tiegħu (TTP). Ibni d-difiża tiegħek fuq l-iskoperta tat-TTP, mhux l-imblukkar tal-IOC.
Attenzjoni: It-tqegħid ta' IOC fuq il-lista ta' imblokk jista' wkoll jinterċetta traffiku leġittimu (imblukkar pożittiv falz). Li tipponta s-saba ' lejn grupp ħażin taħli riżorsi fid-direzzjoni ħażina. L-intelliġenza hija input; Id-deċiżjoni tal-imblukkar u l-attribuzzjoni hija tal-analista wara l-verifika.
Fil-qosor
L-intelliġenza tat-theddid tippermetti lill-organizzazzjoni tiġġieled mhux waħedha iżda bl-esperjenza tad-dinja; iżda minħabba li hija numeruża, messy, u varjabbli, teħtieġ interpretazzjoni. AI tiġbor fil-qosor rapporti twal fuq tliet livelli (strateġiċi, tattiċi, tekniċi), estratti IOC u TTP, mapep għal MITRE ATT&CK u tipprovdi deskrizzjoni ġenerali tar-rilevanza. L-akbar riskji: IOC/teknika/grupp magħmul, attribuzzjoni preċiża iżda falza, u IOC skaduti. Huwa għalhekk li kull IOC jiġi vvalidat b'kurrentità u t-tieni sors, kull teknika hija vverifikata f'ATT&CK; ir-referenza ssir fil-lingwa "kompatibbli mat-tekniki" u mhux "grupp definittiv"; u d-deċiżjoni għall-imblukkar/infurzar hija tal-analista. Il-qalba tad-difiża hija s-sejbien permanenti tat-TTP, mhux IOCs ta 'ħajja qasira.
Kompitu ta' applikazzjoni
Ikseb kampjun pubbliku ta' rapport dwar it-theddid. Oħroġ sommarju u lista strutturata ta’ IOCs mill-AI bil-mudelli ta’ “Rapport Summarization” u “IOC Extraction”. Iċċekkja l-munita u l-awtentiċità ta’ 5 mill-IOCs fuq sors magħruf; Ipprova sib mill-inqas IOC wieħed skadut jew dubjuż. Ivverifika n-numri T tat-tekniki rilaxxati bil-mudell "ATT&CK Matching" fuq is-sit MITRE ATT&CK u aqbad numru falz/falz jekk ikun hemm.
lista ta' kontroll
- [ ] Iġbor ir-rapport fi tliet livelli (strateġiku, tattiku, tekniku).
- [ ] Ivverifikajt kull IOC bil-munita u t-tieni sors indipendenti.
- [ ] Ivverifikajt kull teknika/trick MITRE ATT&CK fis-sors uffiċjali.
- [ ] Indirizzajjt ir-referenza tal-grupp fil-lingwa ta' "konsistenti mat-tekniki" aktar milli "eżatta".
- [ ] Staqsejt ir-rilevanza tal-intelliġenza għall-istituzzjoni tiegħi (settur, teknoloġija, arkitettura).
- [ ] Iċċekkjt kull talba bil-fatti, billi naf li tista' tkun magħmula IOC/teknika/grupp.
- [ ] Jien ħadt id-deċiżjoni li timblokka u nimplimenta bħala analista wara verifika.