Câștiguri:
- A putea distinge unde inteligența artificială economisește timp în fluxul de lucru de securitate defensivă (detecție, analiză, intervenție, îmbunătățire, raportare) și unde deciziile critice pentru securitate (declararea atacului, izolarea, blocarea, raportul oficial) sunt lăsate la latitudinea analistului, în funcție de nivelul de risc al sarcinii.
- Abilitatea de a aplica disciplina de conectare a fiecărei ieșiri AI la dovezi brute (jurnal, IOC, CVE, cod), verificându-l în mod independent și trecându-l prin filtrarea contextului
- Abilitatea de a anonimiza datele de jurnal și de securitate în sfera KVKK/confidențialitate și de a lua obiceiul de a utiliza numai scopuri autorizate, defensive și cu permisiunea scrisă.
Într-un centru de operațiuni de securitate (SOC în engleză - Security Operations Center; echipa care monitorizează rețeaua organizației, serverele și utilizatorii 24/7), mii de înregistrări de evenimente curg în fiecare secundă. Un angajat conectat la un server din Rusia la 3:14 a.m.: este un atac sau o călătorie de afaceri în străinătate? Un utilizator a criptat 4.000 de fișiere în cinci minute: este acest ransomware sau un instrument de rezervă? Un e-mail spune „Factură atașată”: acesta este un e-mail de contabilitate real sau phishing? Într-o revizuire a codului, o interogare SQL concatenează direct intrarea utilizatorului: este aceasta o vulnerabilitate exploatabilă sau un script securizat care rulează în rețeaua internă? Multe dintre aceste întrebări sunt repetitive și obositoare; Unele dintre ele sunt decizii care pot duce direct la o încălcare a datelor, daune de milioane de lire sau la reputația unei instituții.
Inteligența artificială (AI sau AI pentru prescurtare - sisteme de computer care pot scana, rezuma, clasifica, semnala anomalii și pot produce schițe cu cantități mari de text și modele) se află chiar în mijlocul acestei imagini. Când este utilizat corect, rezumă mii de rânduri de jurnale în câteva secunde, prioritizează un grup de vulnerabilități, analizează un e-mail de phishing în câteva secunde în loc de minute și vă oferă timp să vă gândiți. Atunci când este utilizat incorect, poate ignora un atac real etichetându-l drept „normal”, poate alarma în mod fals echipa prin fabricarea unei amenințări care nu există sau poate scurge date confidențiale din jurnal în afara organizației.
Scopul acestei unități nu este promovarea vehiculelor. Scopul este de a clarifica unde să puneți AI în jobul unui profesionist în securitate și unde să nu o puneți deloc. Să reiterăm principiul de bază de la început: inteligența artificială este un asistent, nu o autoritate de decizie în locul analistului de securitate. Depinde de expertul calificat să declare un incident un atac real, să izoleze un sistem, să blocheze un utilizator și să transforme o constatare într-un raport oficial. O ieșire AI neverificată este o afirmație nedovedită. Și cea mai roșie linie a acestui modul: Tot ce este explicat aici este în scopuri defensive (defensive). Folosirea AI pentru a se infiltra într-un sistem fără permisiune, a crea un instrument de atac sau a efectua teste neautorizate este atât ilegală, cât și în afara domeniului de aplicare al acestui modul.
Fluxul de lucru de securitate și locul AI
Pentru a înțelege afacerea securității defensive, este util să împărțiți procesul în cinci etape. Detectare: Capturarea comportamentului suspect din jurnal și date SIEM. Analiză/triaj: evaluarea și prioritizarea dacă o alarmă este reală sau falsă (fals pozitiv). Răspuns: izolarea evenimentului, izolarea, curățarea. Remediere: Închiderea vulnerabilității, eliminarea cauzei principale. Raportare: traducere a constatării în documentație tehnică și managerială. AI poate atinge toate cele cinci etape, dar nu fiecare cu aceeași autoritate.
Să definim câțiva termeni de la început. SIEM (Security Information and Event Management) este un sistem care colectează și corelează înregistrările de jurnal din diferite surse (server, firewall, aplicație) și generează alarme bazate pe reguli. Un fals pozitiv este atunci când un eveniment care nu este de fapt o amenințare produce o alarmă; Este o durere în fund care obosește echipele SOC și duce la „oboseală alertă”. Un fals negativ este atunci când un atac real nu este niciodată prins; Este cea mai periculoasă greșeală, deoarece provoacă rău în tăcere. IOC (Indicator of Compromise) este urma tehnică care arată urma unui atac: o adresă IP rău intenționată, un fișier hash (hash), un nume de domeniu. TTP (Tactics, Techniques, Procedures) este un model de comportament care descrie modul în care se comportă atacatorul.
Următorul tabel rezumă rolul și nivelul de risc al IA în funcție de misiune:
Căutare
Rolul AI
Nivel de risc
Cine aprobă
Rezumat jurnal, reducerea zgomotului
accelerator, sumator
scăzută
analist
Schiță de prioritizare a vulnerabilităților
Sortator, sugestie
Scăzut-Mediu
analist
Analiza e-mailurilor de phishing
Precalificare, clarificare
mediu
analist
Triajul alarmei (adevărat/fals)
Sugestia produce justificare
Mediu-Ridicat
Analist (încă corect)
Schiță de carte de răspuns la incident
generator de schițe
Mediu-Ridicat
Analist senior / lider IR
Găsire securizată de examinare a codului
Al doilea ochi, indicator
Mediu-Ridicat
Dezvoltator + securitate
Decizie de izolare/blocare a sistemului
nu este de ajutor
foarte sus
analist autorizat
Raportul/notificarea oficială a incidentului
Schiță, corectează expertul
foarte sus
Lider IR + legal/conformitate
Țineți minte singura linie din acest grafic: pe măsură ce riscul crește, rolul AI se micșorează, aprobarea umană crește. Nicio linie de IA nu poate scuti un eveniment de la revizuire.
De ce verificarea este inima acestei afaceri
Inteligența artificială pare încrezătoare în rezultatul pe care îl oferă, dar poate să nu fie sigură. Un model de limbaj poate fabrica un număr CVE inexistent (ID de vulnerabilitate), se poate referi la o linie de jurnal care nu există de fapt sau poate pretinde că o adresă IP este „răușitoare” fără nicio dovadă; aceasta se numește halucinație. Același model poate rata și un lanț de atac real. Ambele capcane vin cu fluiditate egală; Singurul lucru care separă binele de rău este expertiza ta și obiceiul tău de a verifica.
Disciplina de verificare constă în trei etape:
- Legați-l de dovezi: potriviți fiecare revendicare AI cu un jurnal brut, un IOC real, o înregistrare CVE verificabilă sau codul în sine. Orice revendicare a cărei sursă nu poate fi citată nu poate fi inclusă în raport. Folosește AI pentru a atrage atenția, nu ca dovezi.
- Verificați independent: examinați și zonele pe care AI le numește „curate”. O ieșire negativă AI nu este o garanție a „nicio amenințare”; Nu săriți niciodată peste propria analiză sistematică.
- Filtru de context: testează cu experiență dacă rezultatul se potrivește arhitecturii organizației, contextului de afaceri și comportamentului normal cunoscut. „Anomalie” nu înseamnă întotdeauna „atac”.
Atenție: semnarea unui raport de incident generat de inteligență artificială fără a potrivi fiecare revendicare cu dovezi brute implică aceeași răspundere ca și formularea unei acuzații fără dovezi. Ieșirea lină nu este o ieșire precisă; Dacă o decizie de securitate este greșită, costul este o prăbușire a sistemului sau o breșă ratată.
Confidențialitate și etică: datele de jurnal sunt date sensibile
Înregistrările de jurnal conțin nume de utilizator, adrese IP, nume de servere interne, căi de fișiere și uneori date personale. Sunt protejate prin KVKK (Legea privind protecția datelor cu caracter personal) în Turcia și GDPR în Europa; În plus, acestea sunt „informații interne” care dezvăluie suprafața de atac a instituției. Lipirea unui eveniment cu jurnalul brut, IP-uri reale și nume de servere interne într-un instrument public de inteligență artificială nu numai că expune date personale, ci și o hartă utilă a rețelei către serverul extern. Regula este simplă: anonimizați și mascați mai întâi. Înlocuiți IP-uri reale, nume de utilizator, nume de gazdă interne cu substituenți; Dacă este posibil, alegeți instrumente corporative care au un acord de prelucrare a datelor și nu vă folosesc datele în formarea modelului.
Limita etică este cel puțin la fel de importantă ca și limita tehnică. Diferența dintre găsirea unei vulnerabilități și exploatarea ei fără permisiune este diferența dintre legal și penal. În acest modul, utilizați AI numai în sistemele pentru care sunteți autorizat, în scopuri defensive și cu permisiunea scrisă. Cererea AI să facă lucruri precum „scrie un instrument de atac”, „cum mă infiltrez în acel site”, „produce un malware funcțional” este în afara profesiei, iar instrumentele AI moderne le resping oricum.
trei mini cutii
Cazul 1 – Utilizare în siguranță. Un analist întâlnește 1.200 de alarme în SIEM în timpul unei ture de noapte. Are AI rezuma alertele brute (anonimizate); AI prăbușește 1.200 de alarme în 18 clustere și transmite un model „340 de autentificări eșuate de la același IP intern, urmat de 1 succes”. Analistul verifică acest cluster cu jurnalul brut, găsește un atac cu forță brută cu parolă reală și blochează contul în 9 minute. sortare accelerată AI; Analistul a luat decizia și verificarea.
Cazul 2 — Capcană de ieșire neverificată. Un alt analist a cerut ca AI să prioritizeze o listă de vulnerabilități. AI spune că „CVE-2024-99999 este critic, corectează-l acum”. Analistul plănuiește să patcheze, dar nu deschide niciodată înregistrarea CVE; întrucât nu există un astfel de CVE — modelul a alcătuit numărul. Echipa pierde ore urmărind un patch care nu există, în timp ce vulnerabilitatea critică reală este întârziată. Verificarea este omisă, revendicarea nu este legată de sursă.
Cazul 3 – Încălcarea confidențialității. Pentru a accelera investigarea unui incident, un expert lipește jurnalul de firewall brut - cu IP-uri interne reale, nume de utilizator și nume de server VPN - într-un instrument public AI. Topologia de rețea a organizației, schema de denumire și lista de utilizatori au ajuns la un server extern. Modul corect a fost să mascați IP-urile și numele și să partajați doar modelul.
Prompt slab / Prompt puternic
Prompt slab:
Există un atac în următorul jurnal: 10.2.14.7 utilizatorul ahmet.yilmaz a intrat în VPN, apoi s-a conectat la serverul de fișiere FS-MUHASEBE-01. De asemenea, acordați prioritate acestor vulnerabilități.
Această solicitare este greșită în trei moduri: IP-ul real, numele utilizatorului și al serverului sunt partajate (încălcarea confidențialității), rolul și limitele AI nu sunt definite și nu sunt solicitate dovezi verificabile. AI completează golurile cu presupuneri și apare riscul de fabricație.
Solicitare puternică:
Rolul dumneavoastră: asistent DRAFT al analistului SOC. Luarea deciziilor; Declarați incidentul ca un „atac”, izolați sistemul sau blocați utilizatorul. Doar analizează modelul de jurnal anonim pe care ți l-am dat. Pentru fiecare revendicare, indicați pe ce linie de jurnal vă bazați; Marcați „[verificarea analistului]” acolo unde nu sunteți sigur; falsificarea IOC, CVE sau IP. Incident anonim: USER_A a accesat VPN prin YURTDISI_IP la 03:14; apoi a accesat 4.000 de fișiere pe serverul de fișiere intern; Utilizatorul lucrează în mod normal între orele 09:00-18:00. Întrebări: (1) ce modele sunt suspecte, (2) ce dovezi suplimentare ar trebui să caut, (3) ar putea exista rezultate false pozitive?
Voința puternică este anonimă, definește rolul și granița, pune sub semnul întrebării atașamentul față de dovezi și posibilitatea unor fals pozitive și interzice fabricarea.
Șabloane de prompt copiabile
ȘABLAN DE DESCRIERE A ROLULUI ȘI A LIMITĂRII Rolul dvs.: asistent al analistului de securitate care pregătește SCORȚĂ/ANALIZA. Nu ești analist; Declararea incidentului ca atac, izolarea sistemului, blocarea utilizatorului sau finalizarea unui raport oficial. Decizia finală și semnătura aparțin analistului. Afișați dovezi (linie de jurnal, IOC, CVE, cod) pentru fiecare revendicare; Marcați ceva care nu are dovezi ca „[trebuie verificat]”, nu inventați. Sarcină: [sarcină de scriere].
ȘABLAN DE CONTROL DE ANONIMIZAREExtrageți adrese IP reale, nume de utilizator, nume interne de gazdă/server, e-mail și nume de domenii, informații corporative din următoarele date de securitate; înlocuiți cu substituenți consecvenți (USER_A, IC_IP_1, HOST_1). Păstrați numai modelul necesar pentru analiză. Anunțați-mă cu privire la modificările unei liste. Date: [paste data]
ȘABLAN DE VERIFICARE DE VALIDARE Pentru fiecare constatare pe care o produceți, scrieți alături: (1) pe ce dovezi se bazează, (2) ce înregistrare/sursă brută ar trebui să deschid pentru a verifica, (3) probabilitatea unui fals pozitiv și de ce. Folosiți „posibil/suspect” atunci când este necesar, mai degrabă decât limbaj precis. Fabricare CVE/IOC/IP inexistentă.
ȘABLAN DE ALOCARE NIVEL DE RISC Clasificați misiunea de securitate Voi atribui și scrie justificarea: (A) risc scăzut - schiță/rezumat AI suficient, (B) risc mediu - analistul trebuie să verifice, (C) risc ridicat/foarte mare - decizia/izolare/notificarea aparține analistului, AI este doar de ajutor. Sarcină: [sarcină de scriere].
Greșeli comune
- Confund AI cu un analist. AI scanează după modele, dar nu are nicio responsabilitate sau autoritate; Tu decizi. Rezultatul este un proiect, nu un verdict.
- Partajarea IP reală, nume de utilizator și gazdă. Aceasta este atât o încălcare KVKK, cât și o scurgere a hărții rețelei care va aduce beneficii atacatorului; masca mai intai.
- Bazându-se pe ieșirea AI negativă și relaxând căutarea. „Fără amenințare” nu înseamnă cu adevărat că nu există; Nu săriți niciodată peste propria analiză sistematică.
- Utilizarea CVE/IOC inventată fără verificare. Se poate potrivi cu numărul modelului și indicatorul; Confirmați fiecare cu sursa oficială.
- Utilizare neautorizată/ofensivă. Lucrați doar defensiv, pe propriile sisteme, cu permisiunea scrisă; Altfel, este atât ilegal, cât și lipsit de etică.
Sfat: Pune-ți o întrebare pentru fiecare sarcină: „Ce se întâmplă dacă această ieșire este greșită?” Dacă răspunsul este „un atac scapă” sau „are loc o întrerupere a afacerii” - așa cum se întâmplă adesea în securitate - utilizați AI numai pentru rezumat/sugestie/schiză și nu săriți niciodată verificarea.
Pe scurt
Inteligența artificială este un asistent puternic în securitatea cibernetică: rezumă jurnalul, sortează alarma, analizează phishingul, scanează codul, generează proiecte de rapoarte. Dar aceasta este o zonă critică pentru securitate; Depinde de expertul calificat să declare un incident un atac, să izoleze un sistem, să blocheze un utilizator și să depună un raport oficial. Rolul IA în cele cinci etape ale procesului (detecție, analiză, intervenție, remediere, raportare) variază în funcție de nivelul de risc; Pe măsură ce riscul crește, aprobarea umană crește. Trei discipline păzesc fiecare pas: dovezi, verificare independentă, filtru de context. Și sub toate acestea, există două limite: confidențialitatea (exportarea datelor brute fără anonimizare) și etică (utilizare autorizată, defensivă, numai autorizată).
Sarcina de aplicare
Selectați trei sarcini din propria organizație (sau un exemplu de scenariu): unul cu risc scăzut (de exemplu, rezumatul alertelor zilnice), unul cu risc mediu (de exemplu, o analiză de phishing), unul cu risc foarte ridicat (de exemplu, decizia de a izola un sistem). Pentru fiecare, (1) descrieți rolul AI într-o singură propoziție, (2) notați ce pas de verificare veți face, (3) indicați cum veți anonimiza datele. Apoi adaptați șablonul „Definiția rolului și limitelor” la sarcina dvs. cu risc mediu, scrieți o solicitare și notați cum îi veți verifica rezultatul cu dovezi brute.
lista de verificare
- [ ] Am determinat nivelul de risc (scăzut/mediu/ridicat/foarte ridicat) al sarcinii.
- [ ] Am limitat rolul AI la „asistent/rezumat/sugestie/schiță”; Decizia și semnătura aparțin analistului.
- [ ] Am anonimizat datele; IP-ul real, numele de utilizator, gazdă și domenii sunt mascate.
- [ ] Am promis că voi verifica fiecare afirmație cu dovezi brute (jurnal, IOC, CVE, cod).
- [ ] În ciuda rezultatelor negative ale AI, voi efectua propria mea analiză sistematică.
- [ ] Știind că poate fi un CVE/IOC/IP fals, o voi confirma cu sursa oficială.
- [ ] Sunt limitat doar la utilizarea autorizată, defensivă și scrisă.